Memoria agentiva para CTI en Python — gráficos de conocimiento STIX, resolución de alias de actores de amenazas, RAG offline primero, servidor MCP para agentes de Claude Code y LangChain
El único sistema de memoria agéntico construido para inteligencia de ciberamenazas.
Cuando un analista senior se va, dos o tres años de contexto se van con ellos — entornos de clientes, investigaciones previas, TTPs de actores, patrones de falsos positivos, cada "espera, ya hemos visto esto" ganado con esfuerzo. ZettelForge es un sistema de memoria agéntico construido para que el contexto se quede con el equipo.
Extrae CVEs, actores de amenazas, IOCs y técnicas de ATT&CK de notas de analistas e informes de amenazas, resuelve alias (APT28 = Fancy Bear = STRONTIUM = Sofacy), construye un grafo de conocimiento STIX 2.1, y sirve cada investigación pasada de vuelta a tus analistas — y a Claude Code a través de MCP — en lenguaje natural. Funciona completamente en proceso. Sin claves API. Sin nube. Ningún dato sale del host.
Star · pip install zettelforge · Docs · ThreatRecall (hosted) · Changelog
v2.6.2 (2026-04-27): El editor web de configuración incluye menús desplegables funcionales para todos los campos de enumeración (proveedor LLM/embedding, nivel de registro, acción PII, formato de síntesis) y un botón Apply que funciona. Nuevo extra
[crewai]expone ZettelForge como herramientas de CrewAI --pip install zettelforge[crewai]. Changelog completo
Si ZettelForge se ajusta a un flujo de trabajo CTI que ejecutas, una estrella es la señal más rápida de que vale la pena seguir invirtiendo en esta categoría.
Cada SOC pierde analistas. Cuando se van, el contexto de las investigaciones, la atribución de actores y los patrones de falsos positivos específicos del entorno se van con ellos. Sus reemplazos reabren los mismos tickets, releen los mismos informes y reconstruyen los mismos modelos mentales desde cero.
Los sistemas de memoria de IA de propósito general no solucionan esto para los equipos de seguridad. No pueden distinguir APT28 de Fancy Bear, no saben que CVE-2024-3094 es la puerta trasera de XZ Utils, no pueden analizar Sigma o YARA, y no tienen concepto de los IDs de técnicas de MITRE ATT&CK. Cuando un analista CTI les da un año de informes de inteligencia, reciben a cambio una búsqueda semántica difusa sobre el historial de chat.
ZettelForge fue construido para analistas que piensan en grafos de amenazas. Extrae CVEs, actores de amenazas, IOCs y técnicas de ATT&CK automáticamente, resuelve alias entre convenciones de nomenclatura, construye un grafo de conocimiento con relaciones causales, y recupera recuerdos utilizando búsqueda combinada consciente de la intención — todo en proceso, sin dependencia de API externa.
La aumentación de memoria cierra el 33% de la brecha entre modelos pequeños y grandes en tareas CTI (CTI-REALM, Microsoft 2026, usando GPT-4 como línea base de modelo grande). Ver informe completo de benchmarks para metodología y comparaciones.
| Capacidad | ZettelForge | Mem0 | Graphiti | Cognee |
|---|---|---|---|---|
| Extracción de entidades CTI (CVEs, actores, IOCs) | Sí | No | No | No |
| Ontología STIX 2.1 | Sí | No | No | No |
| Resolución de alias de actores de amenazas | Sí (APT28 = Fancy Bear) | No | No | No |
| Grafo de conocimiento con tripletas causales | Sí | No | Sí | Sí |
| Recuperación clasificada por intención (5 tipos) | Sí | No | No | No |
| En proceso / sin API externa requerida | Sí | No | No | No |
| Registros de auditoría en esquema OCSF | Sí | No | No | No |
| Servidor MCP (Claude Code) | Sí | No | No | No |
Extracción de Entidades -- Identifica automáticamente CVEs, actores de amenazas, IOCs (IPs, dominios, hashes, URLs, correos electrónicos), técnicas MITRE ATT&CK, campañas, conjuntos de intrusión, herramientas, personas, ubicaciones y organizaciones. Regex + NER con LLM y tipos STIX 2.1 en todo momento.
Grafo de Conocimiento -- Las entidades se convierten en nodos, la co-ocurrencia se convierte en aristas. El LLM infiere tripletas causales ("APT28 usa Cobalt Strike"). Las aristas temporales y las sustituciones rastrean cómo evoluciona la inteligencia.
Resolución de Alias -- APT28, Fancy Bear, Sofacy, STRONTIUM se resuelven al mismo nodo de actor. Funciona automáticamente al almacenar y recuperar.
Recuperación Combinada -- Similitud vectorial (fastembed 768-dim, ONNX) + recorrido de grafo (BFS sobre las aristas del grafo de conocimiento), ponderado por clasificación de intención. Cinco tipos de intención: factual, temporal, relacional, exploratoria, causal.
Evolución de la Memoria -- Con evolve=True, la nueva inteligencia se compara con la memoria existente. El LLM decide ADD, UPDATE, DELETE o NOOP. La inteligencia obsoleta se sustituye. Las contradicciones se resuelven. Los duplicados se saltan.
Síntesis RAG -- Sintetiza respuestas en todos los recuerdos almacenados con el formato direct_answer.
En proceso por arquitectura -- fastembed (ONNX) para embeddings, llama-cpp-python para inferencia LLM local opcional, SQLite + LanceDB para almacenamiento, y Ollama en localhost por defecto. No se requieren claves API externas. Puede ocurrir acceso a red saliente en la primera ejecución cuando se descargan los modelos de embedding/LLM; después de precargar los modelos, puede funcionar completamente sin conexión (incluso en hosts desconectados).
