LangGraph, RAG hybride et moteur de signatures : un graphe universel pour les données en continu

Un développeur a introduit un modèle architectural qui combine un LLM, un RAG hybride et les moteurs de signatures YARA et Sigma dans un seul graphe asynchrone sur LangGraph. Le flux de journaux est lu par Vector, divisé par un script Lua en morceaux de 250 lignes avec un chevauchement de 20 lignes, puis transmis via Kafka à un consommateur avec logique de relance et une file d'attente mortelle. Le graphe contient deux branches parallèles : une branche IA avec filtrage, regroupement des journaux par l'agent 1, génération de description par l'agent Description, et l'agent RAG 2, qui recherche les techniques MITRE ATT&CK ; une branche déterministe avec analyse des journaux, analyse YARA et Sigma. Les quatre flux fusionnent dans l'agent 3, qui produit un rapport final : les incidents confirmés vont dans le rapport final, les non confirmés dans un bloc « Examen manuel requis ». Le RAG est implémenté comme recherche hybride : vecteur (ChromaDB) avec poids 0,6 et BM25 avec poids 0,4, suivi d'un reclassement par LLM. YARA utilise le compilateur natif yara-python, Sigma utilise un moteur personnalisé basé sur des règles. Le système a été testé sur des journaux de cybersécurité mais est universel.