# VSOC-01 — SentinelTriage - AI Agent phân loại & khử trùng lặp kết quả SAST/DAST

## code

VSOC-01

## name

SentinelTriage - AI Agent phân loại & khử trùng lặp kết quả SAST/DAST

## sector

An ninh mạng – Trung tâm Giám sát An toàn thông tin (SOC)

## description

📍 Thực trạng: Mỗi lần chạy pipeline CI/CD, các công cụ SAST (Semgrep) và DAST (OWASP ZAP) đẩy ra hàng nghìn dòng cảnh báo JSON/XML vào data lake của Trung tâm Giám sát An ninh mạng (SOC) của doanh nghiệp; đội bảo mật ngập trong trùng lặp và false positive, xử lý thủ công mất nhiều ngày.

🎯 Vấn đề: Bài toán đặt ra là làm thế nào để xây dựng AI Agent tự động đọc log SAST/DAST khổng lồ, gom nhóm & khử trùng lặp các phát hiện tương đương, đối chiếu RAG (CVE/OWASP) để xác thực, chấm điểm ưu tiên theo mức độ nghiêm trọng và ngữ cảnh ứng dụng, rồi sinh phiếu triage kèm bằng chứng và gợi ý khắc phục; đồng thời vượt qua việc chấm điểm cảnh báo tĩnh bằng cách phân tích khả năng tiếp cận và đường dẫn khai thác thực tế (reachability/attack-path graph), tương quan chuỗi tấn công đa nguồn theo chuẩn MITRE ATT&CK và ước lượng bán kính ảnh hưởng trước khi phản ứng.

🔒 Ràng buộc: Chỉ đọc dữ liệu quét trên môi trường staging/mô phỏng, không tự sửa code hay đóng ticket khi chưa có HITL duyệt; agent chạy least-privilege (chỉ đọc data lake, không quyền ghi repo); mọi kết luận phải grounded trên bằng chứng dòng log + CVE cụ thể (chống bịa); phải giảm rõ rệt false positive so với baseline và kiểm soát độ trễ/chi phí token khi xử lý log lớn; làm sạch dữ liệu đầu vào chống prompt injection ẩn trong nội dung file/stack trace.

## tech_stack

• LLM (GPT-4o/Claude)
• LangGraph điều phối
• RAG với Qdrant + BGE reranker nạp CVE/OWASP
• parser Semgrep + OWASP ZAP JSON/XML
• NeMo Guardrails lọc input
• FastAPI backend
• Next.js + React frontend (dashboard triage)
• Postgres lưu phiếu
• Langfuse observability
• RAGAS + LLM-as-Judge eval
• Docker deploy.
• Dữ liệu & benchmark thực tế tham chiếu: Bộ benchmark an ninh ứng dụng SastBench / OWASP Benchmark / Juliet Test Suite, danh mục lỗ hổng bị khai thác thực tế CISA KEV + NVD CVE/EPSS và mẫu hạ tầng lỗi CloudGoat / TerraGoat.

## deliverables

Cơ bản:
• Web app đã deploy có đăng nhập, ≥2 vai trò (Analyst xem/duyệt, Manager cấu hình)
• upload/kết nối log SAST/DAST, agent gom nhóm-khử trùng lặp-chấm ưu tiên, hiển thị bằng chứng, HITL để Analyst xác nhận/bác bỏ trước khi đóng phiếu, có xử lý lỗi khi file hỏng/thiếu.

Nâng cao:
• Multi-agent (Parser Agent + Correlation Agent + Prioritization Agent) phối hợp qua LangGraph
• eval pipeline đo tỉ lệ khử trùng lặp đúng và giảm false positive (LLM-as-Judge + RAGAS cho phần RAG)
• trace toàn bộ reasoning trên Langfuse
• guardrails chống prompt injection
• tối ưu token bằng batching/summarization và báo cáo chi phí/độ trễ
• Tích hợp phân tích đồ thị đường dẫn tấn công / khả năng khai thác thực tế (reachability & blast-radius analysis) và kiểm chứng tự động giúp cắt giảm tỷ lệ cảnh báo giả (false positive) trên dữ liệu benchmark.