Skip to main content

​
系統架構

Panguard AI 是一個 TypeScript monorepo，18 個 package 分成三個部署層級。每個元件 — 從你筆電上的 CLI 到資料中心的 Threat Cloud — 都共用同一個 @panguard-ai/core 基礎。

​
三個部署層級

Guard agent 和 CLI 工具直接跑在受保護的機器上。安全事件在這裡被偵測、由 Layer 1 和 Layer 2 AI 分析、即時回應。主要元件：
  • Guard agent（持續監控）
  • Scan 引擎（按需稽核）
  • 通知系統（Telegram、Slack、Email、LINE、Webhook）
  • Trap 蜜罐（8 種誘餌服務）
  • Report 產生器（PDF、JSON）
  • 本地 AI（Ollama，Layer 2）
完全離線運作。 Endpoint 層用 cache 的規則和本地 AI，不需要網路。

​
13-Package Monorepo

程式碼用 pnpm workspace monorepo 組織，每個 package 負責一件事：

​
@panguard-ai/core — 共用基礎

core package 是所有其他 package 的基礎，提供：
  • ATR 規則 parser 和 evaluator（pattern matching、情境感知偵測、多層分析）
  • 768 條內建 ATR 規則，支援自訂規則載入
4 個系統監控器收集安全相關事件： - Log 監控器 — 系統 log 解析（syslog、journald、Windows Event Log） - Network 監控器 — 連線追蹤、port scan、DNS 查詢 - Process 監控器 — 行程建立、終止、資源用量 - File 監控器 — 檔案系統變更、權限修改、新的 binary
  • FunnelRouter 做 Layer 2/3 級聯 - Ollama adapter（本地 AI） - Claude 和 OpenAI adapter（雲端 AI）
  • 啟動時自動偵測 provider - AES-256-GCM 加密 key 儲存（~/.panguard/llm.enc）
  • 英文和繁體中文 - 所有 CLI 輸出、報告、通知都完整在地化 - 用 panguard init 或 --lang flag 選語言
  • OS 偵測（macOS、Linux、Windows）
  • 網路介面列舉
  • 執行中服務清單
  • 安全工具偵測（防毒、EDR、IDS）
  • 硬體識別碼收集，用於加密 key 衍生

​
Tech Stack

​
跨平台支援

Panguard 跑在三大 OS 上： 平台特定實作在 core 裡透過 interface 抽象化：
  • 防火牆： macOS pfctl、Linux iptables/nftables、Windows netsh
  • 服務管理： macOS launchd、Linux systemd、Windows Services
  • Log 來源： macOS unified log、Linux journald/syslog、Windows Event Log

​
資料流

一個典型的安全事件在系統裡的流程：
1

偵測事件

core 裡的監控器（process、network、file、log）在 endpoint 偵測到安全相關事件。
2

Layer 1 評估

ATR 規則引擎在 1ms 內評估事件。規則命中的話，事件馬上被分類並觸發回應。
3

AI 升級（如果需要）

沒命中的事件透過 FunnelRouter 丟給 Layer 2（本地 Ollama）或 Layer 3（雲端 AI）做深度分析。
4

執行回應

依分類和信心度，自動回應引擎採取行動：封鎖 IP、隔離檔案、kill 行程、或只通知。
5

報告和通知

透過設定的頻道發通知。事件記錄進 Guard 狀態、安全分數更新、合規報告。
6

Threat Cloud 上傳（可選）

有開 Threat Cloud 的話，匿名化的指標會上傳，貢獻給社群。

​
相關內容

三層式 AI

規則、本地 AI、雲端 AI 漏斗的深入說明。

Guard Pipeline

Guard 裡面的 5 階段 AI agent pipeline。

Manager

機群編排和集中式管理。