AiSOC : guide de prise en main d'un centre d'opérations de sécurité IA open source auto-hébergé

À qui s'adresse ce projet

• Aux équipes de sécurité ou chercheurs individuels qui souhaitent faire tourner un centre d'opérations de sécurité (SOC) basé sur l'IA en local ou sur leurs propres serveurs : AiSOC est un projet open source auto-hébergeable qui permet d'ingérer des données de télémétrie de sécurité, de détecter et de corréler des menaces, de mener des enquêtes avec des agents IA dotés d'un raisonnement auditable, et de proposer des actions de réponse approuvées par un humain.
• Aux utilisateurs qui veulent un outil fonctionnant sans dépendre de clés API cloud : la documentation officielle indique qu'il fonctionne sans clé API.
• Aux utilisateurs de clients comme Claude, Cursor ou Continue qui souhaitent s'y connecter via MCP.

Cas où il ne convient pas :

• Les utilisateurs ne disposant pas d'un environnement Docker répondant aux exigences de ressources (voir les prérequis ci-dessous) ne pourront pas terminer l'installation.
• Les sources ne précisent pas s'il convient comme alternative de SOC de niveau production, ni quels formats de sources de télémétrie spécifiques sont pris en charge : ce sont des inconnues, à vérifier soi-même dans le dépôt avant de choisir.

Première tentative en 3 minutes

Le chemin principal recommandé est le Quick start officiel : cloner le dépôt et le démarrer avec make.

Prérequis :

• Docker Compose v2, avec 8 Go de mémoire et 20 Go d'espace disque disponible dans la VM Docker.
• python3 (3.9 ou supérieur) et bash.
• En cas de doute sur votre environnement, exécutez d'abord le make doctor fourni officiellement : il vérifie toutes les exigences ci-dessus.

Installation et démarrage (commandes officielles) :

git clone https://github.com/beenuar/AiSOC && cd AiSOC
make up

Au premier lancement, environ 2 Go de modèles sont téléchargés dans un volume qui n'est supprimé que par make clean — c'est un effet de bord à connaître avant de démarrer.

Signe de succès : une fois les services démarrés en local, vous pouvez interagir avec l'outil via son interface ou son interface MCP. Les sources ne décrivent pas les étapes précises dans l'interface après le premier lancement ni l'adresse d'accès par défaut ; pour cette étape, reportez-vous aux explications complémentaires du README du dépôt.

Première tentative à faible risque : les sources ne listent pas les noms des outils MCP ni leurs propriétés en lecture/écriture ; il est donc impossible de désigner un « outil en lecture seule » comme premier appel. Tant que les effets de bord des outils ne sont pas confirmés, il est conseillé de se limiter aux fonctions d'affichage comme l'interface et le journal des décisions (decision ledger), et d'éviter d'exécuter directement des actions de réponse.

Cas d'usage

Cas n° 1 : vérifier l'environnement avant de démarrer. Scénario : vous ne savez pas si les ressources de votre VM Docker sont suffisantes. Démarche : après avoir cloné le dépôt, exécutez d'abord make doctor, qui vérifie point par point Docker Compose v2, les 8 Go de mémoire, les 20 Go de disque, python3 3.9+ et bash. Résultat attendu : une fois la vérification passée, exécutez make up, afin d'éviter qu'un premier lancement n'échoue en cours de route faute de ressources.

Cas n° 2 : connecter AiSOC via MCP dans Claude, Cursor ou Continue. Scénario : vous voulez interroger directement les résultats de détection ou les conclusions d'enquête d'AiSOC depuis ces clients. Démarche : la documentation officielle du projet indique qu'un serveur MCP dédié à Claude, Cursor et Continue est intégré ; pour les champs de configuration et la méthode de connexion dans chaque client, les sources ne fournissent pas d'extraits de configuration mot à mot — reportez-vous aux instructions de configuration MCP correspondantes dans le dépôt. Limites confirmables : on peut confirmer qu'il fournit un serveur MCP et les clients cibles, mais la liste des outils disponibles après la première connexion, leurs paramètres et leurs formats de sortie ne sont pas couverts par les sources et ne doivent pas être supposés.

Limites d'utilisation

• Nature lecture/écriture : il ingère des données de télémétrie de sécurité et détecte des menaces ; les agents IA mènent des enquêtes et « proposent » des réponses, mais celles-ci sont approuvées par un humain — autrement dit, les opérations en écriture comportent un point de confirmation. Les sources ne précisent pas quels outils MCP sont en lecture seule et lesquels déclenchent des actions réelles.
• Données locales et effets de bord sur le disque : le premier lancement télécharge environ 2 Go de modèles dans un volume, supprimable uniquement via make clean ; cela occupe un espace disque réel, et l'opération de nettoyage elle-même supprime le contenu de ce volume.
• Exigences d'identifiants : la documentation officielle indique qu'il fonctionne sans clé API et ne mentionne aucune autre exigence d'identifiants.
• Limites explicites : Docker Compose v2 est requis (8 Go de mémoire / 20 Go de disque), ainsi que python3 3.9+ et bash.
• Non encore confirmé : la liste précise des outils MCP, les propriétés en lecture seule de chaque outil, le port d'accès par défaut, les types de sources de télémétrie pris en charge, ainsi que les procédures de mise à jour et de désinstallation — la page officielle ne les fournit pas dans les sources disponibles ; consultez le README le plus récent du dépôt avant utilisation.