LangGraph、混合RAG与签名引擎：流式数据的通用图

一位开发者提出了一种架构模式，该模式将LLM、混合RAG以及YARA和Sigma签名引擎结合在LangGraph上的单个异步图中。日志流由Vector读取，通过Lua脚本拆分为250行一块、重叠20行的块，然后经过Kafka传递到带有重试逻辑和DLQ的消费者。该图包含两个并行分支：一个AI分支，包含过滤、Agent 1日志分组、Description Agent描述生成，以及RAG Agent 2，后者搜索MITRE ATT&CK技术；一个确定性分支，包含parse_logs、YARA和Sigma扫描。四个流全部汇入Agent 3，生成最终报告：已确认事件进入最终报告，未确认事件则进入“需要人工审查”块。RAG实现为混合搜索：向量（ChromaDB）权重为0.6，BM25权重为0.4，随后进行LLM重新排序。YARA使用原生yara-python编译器，Sigma则使用自定义规则引擎。该系统已在网络安全日志上测试，但具有通用性。