先用代码收齐证据，再让四个专家并行看

安全值班台上告警一多，最省事的想法是丢给一个总管 agent：让它自己查流量、翻工单、写结论。Cloudflare 在 2026-10-07 的博文 Building an evidence-grounded agentic security operations harness 里写，这条路在托管防御里先试过，随后放弃。单一通用 agent 会编造证据、把范围扩到不该看的地方，失败路径也丢。他们改成两段：先用固定代码工作流收齐事实，模型只在事实齐了之后做分析和合成。

这套 harness 面向 Managed Defense 的早期测试，处理符合条件的应用安全告警和案件。它没有单独开源仓库。能开源复用的是判定环节用到的 Clef。读者如果只看过 Clef 家族本身，这篇补的是它怎么被嵌进值班台，而不是再讲一遍模型卡。

侦察用代码，专家才看模型

流水线按博文可以拆成五段。告警先进入符合条件的应用安全队列。侦察阶段只用确定性工作流：该查的接口、该拉的日志、该对的字段，全部写死，模型没有在这一段编造记录的权限。Clef 随后做滤噪，把明显不用人看的告警挡掉。剩下的交给协调器，并行拉起四个专家：流量、客户历史、全局遥测聚合、威胁情报。合成 agent 只合并已经类型化的发现，写成一份报告，不再发起新的取数。

四个专家并行，是为了避免一个长上下文把范围越洗越大。全局视图用的是内容分发、Web 应用防火墙、拒绝服务防护、Turnstile、速率限制和 Cloudforce One 的聚合，不是另一家客户的原始记录。博文原句写，模型从来没有跨租户边界的权限。

单一总管失败时，博文列了三条复发问题。上下文被当成权威：检测只是假设，不是已经打穿的证明。范围会漂：错账号、错时间窗、错数据源，提示词本身挡不住。失败会消失：超时分不清“没查过”和“查了但没有”。所以证据采集和范围约束必须写在应用代码里，模型见不到越界结果。

侦察阶段收的是身份、检测历史、流量基线、执行结果和网络观察，每条都带来源、版本和时间戳。同一份快照可回放，后面四个专家的分歧只能出在解释，不能出在各查各的。已知的高量噪声一进来就标成被动，只当上下文，不进活跃队列。证据包是版本化的：主体、范围、时间锚、已准入证据、策略版本、来源和覆盖缺口。专家必须引用包里的条目，应用代码会核引用是否存在、是否属于这次调查、以及是否撑得住结论。无效发现会被改掉，或记成限制。

证据不齐时，缺口单独记账，已经收齐的仍保留。建议书要分清三种情况：没查过；查了没对上；查了且支持“不存在”。缺全局遥测时，可以说客户侧异常，不能说全网是不是都这样。证据不够就不给分类，也不给处置建议。

跑这套东西的原语都是现成的：Workers 做证据准入和检查，Workflows 串阶段并在下一阶段开始前存好已完成的产物，失败了也能复用已经核过的工件。D1 存调查和建议状态，对象存储放有界上下文和证据产物，持久对象撑案件对话，再加上 Flue 和 AI Search。客户范围在任何模型看到结果之前就写死在代码里。值班员看到的是一份有出处的建议，不是一段无法回放的推理。

现在谁能用，以及它不承诺什么

Clef 在这条流水线里出现两次。第一次做初筛和快速打分，把高误报可能的告警挡在专家之前。第二次问证据够不够、有没有矛盾，并从一份已经被代码收窄的攻击分类和处置名单里挑。更深的分析会交给已批准的外部模型，博文点名了 OpenAI Daybreak 和 Anthropic 系列，其中包括 GPT-5.6 Cyber 和 Mythos。合成 agent 不能取新证据，也不能选出批准词表以外的分类。

建议书用值班员的语言写：受影响面、执行结果、相关控制和下一步。处置建议可能是某条路径加速率限制、一条 Web 应用防火墙自定义规则，或一次拒绝服务策略调整。完全托管的客户可以由分析师直接落规则，其他人走控制台和自己选的告警通道。判断责任仍在人。

博文没有给检出率、误报下降或平均处理时间。能写进稿子的只有架构约束：证据采集和模型推理分开；滤噪用开源判定模型；四个专家并行且不越租户；合成阶段不再取新数；证据不够就不分类。早期测试开在托管防御里，对象是符合条件的应用安全告警和案件。已经在用 Web 应用防火墙、拒绝服务防护、Magic Transit 或其他支持产品的企业客户，要找自己的客户经理，没有自助开通按钮。下一步他们写了定制托管档，以及持续盯流量、抓固定规则漏掉的模式，分析师仍要负责判断。

Harness 本身未开源，所以没有安装步骤可抄。若只想在自己的流水线里复用“先事实、后判定”这一段，开源的是 Clef，不是这整套值班台。下一篇如果写选项通道攻击，再单独谈判定模型当守门员会怎样被一个选项名撬开。这篇只把官方口径钉死：别把一个总管 agent 直接接上生产告警。