Agentic memory for CTI in Python — STIX ज्ञान ग्राफ, खतरा-अभिनेता उपनाम समाधान, ऑफलाइन-प्रथम RAG, Claude Code और LangChain एजेंटों के लिए MCP सर्वर
साइबर खतरा बुद्धिमत्ता के लिए बनाया गया एकमात्र एजेंटिक मेमोरी सिस्टम।
जब कोई वरिष्ठ विश्लेषक संगठन छोड़ता है, तो दो या तीन वर्षों का संदर्भ उनके साथ चला जाता है — ग्राहक वातावरण, पिछली जांचें, अभिनेता TTP, झूठी-सकारात्मक पैटर्न, हर कठिन-अर्जित "रुको, हमने यह पहले देखा है।" ZettelForge एक एजेंटिक मेमोरी सिस्टम है जो इस प्रकार बनाया गया है कि संदर्भ टीम के पास ही रहे।
यह विश्लेषक नोट्स और खतरा रिपोर्टों से CVEs, खतरा अभिनेताओं, IOCs और ATT&CK तकनीकों को निकालता है, उपनामों को हल करता है (APT28 = Fancy Bear = STRONTIUM = Sofacy), एक STIX 2.1 ज्ञान ग्राफ बनाता है, और हर पिछली जांच को आपके विश्लेषकों को — और MCP के माध्यम से Claude Code को — प्राकृतिक भाषा में प्रस्तुत करता है। पूरी तरह से इन-प्रोसेस चलता है। कोई API कुंजी नहीं। कोई क्लाउड नहीं। कोई डेटा होस्ट नहीं छोड़ता।
स्टार करें · pip install zettelforge · दस्तावेज़ · ThreatRecall (होस्टेड) · परिवर्तन लॉग
v2.6.2 (2026-04-27): कॉन्फ़िग वेब एडिटर सभी enum फ़ील्ड (LLM/एम्बेडिंग प्रदाता, लॉग स्तर, PII क्रिया, संश्लेषण प्रारूप) के लिए कार्यशील ड्रॉपडाउन और एक कार्यशील Apply बटन के साथ आता है। नया
[crewai]एक्स्ट्रा ZettelForge को CrewAI टूल के रूप में उजागर करता है —pip install zettelforge[crewai]। पूर्ण परिवर्तन लॉग
यदि ZettelForge आपके द्वारा चलाए जाने वाले CTI वर्कफ़्लो में फिट बैठता है, तो एक स्टार सबसे तेज़ संकेत है कि इस श्रेणी में निवेश जारी रखना उचित है।
हर SOC विश्लेषकों को खोता है। जब वे जाते हैं, तो जांच संदर्भ, अभिनेता आरोपण, और पर्यावरण-विशिष्ट झूठी-सकारात्मक पैटर्न उनके साथ चले जाते हैं। उनके प्रतिस्थापी एक ही टिकट फिर से खोलते हैं, एक ही रिपोर्ट फिर से पढ़ते हैं, और शुरू से एक ही मानसिक मॉडल फिर से बनाते हैं।
सामान्य-उद्देश्य AI मेमोरी सिस्टम सुरक्षा टीमों के लिए इसे ठीक नहीं करते हैं। वे APT28 को Fancy Bear से नहीं बता सकते, यह नहीं जानते कि CVE-2024-3094 XZ Utils बैकडोर है, Sigma या YARA को पार्स नहीं कर सकते, और MITRE ATT&CK तकनीक आईडी की कोई अवधारणा नहीं रखते। जब कोई CTI विश्लेषक उन्हें एक साल की इंटेल रिपोर्ट देता है, तो उन्हें चैट इतिहास पर धुंधली सिमैंटिक खोज मिलती है।
ZettelForge उन विश्लेषकों के लिए बनाया गया था जो खतरा ग्राफ़ में सोचते हैं। यह स्वचालित रूप से CVEs, खतरा अभिनेताओं, IOCs और ATT&CK तकनीकों को निकालता है, नामकरण परंपराओं में उपनामों को हल करता है, कारण संबंधों के साथ एक ज्ञान ग्राफ बनाता है, और इरादा-जागरूक मिश्रित खोज का उपयोग करके यादों को पुनर्प्राप्त करता है — सभी इन-प्रोसेस, बिना किसी बाहरी API निर्भरता के।
मेमोरी वृद्धि CTI कार्यों पर छोटे और बड़े मॉडलों के बीच 33% अंतर को बंद करती है (CTI-REALM, Microsoft 2026, बड़े-मॉडल बेसलाइन के रूप में GPT-4 का उपयोग करते हुए)। कार्यप्रणाली और तुलनाओं के लिए पूर्ण बेंचमार्क रिपोर्ट देखें।
| क्षमता | ZettelForge | Mem0 | Graphiti | Cognee |
|---|---|---|---|---|
| CTI इकाई निष्कर्षण (CVEs, अभिनेता, IOCs) | हाँ | नहीं | नहीं | नहीं |
| STIX 2.1 ऑन्टोलॉजी | हाँ | नहीं | नहीं | नहीं |
| खतरा अभिनेता उपनाम समाधान | हाँ (APT28 = Fancy Bear) | नहीं | नहीं | नहीं |
| कारण त्रिक के साथ ज्ञान ग्राफ | हाँ | नहीं | हाँ | हाँ |
| इरादा-वर्गीकृत पुनर्प्राप्ति (5 प्रकार) | हाँ | नहीं | नहीं | नहीं |
| इन-प्रोसेस / कोई बाहरी API आवश्यक नहीं | हाँ | नहीं | नहीं | नहीं |
| OCSF स्कीमा में ऑडिट लॉग | हाँ | नहीं | नहीं | नहीं |
| MCP सर्वर (Claude Code) | हाँ | नहीं | नहीं | नहीं |
इकाई निष्कर्षण — स्वचालित रूप से CVEs, खतरा अभिनेताओं, IOCs (IP, डोमेन, हैश, URL, ईमेल), MITRE ATT&CK तकनीकों, अभियानों, घुसपैठ सेटों, उपकरणों, लोगों, स्थानों और संगठनों की पहचान करता है। पूरे समय STIX 2.1 प्रकारों के साथ रेगेक्स + LLM NER।
ज्ञान ग्राफ — इकाइयाँ नोड बन जाती हैं, सह-घटना किनारे बन जाती है। LLM कारण त्रिक का अनुमान लगाता है ("APT28 उपयोग करता है Cobalt Strike")। अस्थायी किनारे और अधिक्रमण ट्रैक करते हैं कि खुफिया जानकारी कैसे विकसित होती है।
उपनाम समाधान — APT28, Fancy Bear, Sofacy, STRONTIUM सभी एक ही अभिनेता नोड में हल हो जाते हैं। संग्रहण और स्मरण पर स्वचालित रूप से काम करता है।
मिश्रित पुनर्प्राप्ति — वेक्टर समानता (768-dim fastembed, ONNX) + ग्राफ ट्रैवर्सल (ज्ञान ग्राफ किनारों पर BFS), इरादा वर्गीकरण द्वारा भारित। पाँच इरादा प्रकार: तथ्यात्मक, अस्थायी, संबंधपरक, खोजपूर्ण, कारण।
मेमोरी विकास — evolve=True के साथ, नई इंटेल की मौजूदा मेमोरी से तुलना की जाती है। LLM ADD, UPDATE, DELETE, या NOOP तय करता है। पुरानी इंटेल अधिक्रमित हो जाती है। विरोधाभास हल हो जाते हैं। डुप्लिकेट छोड़ दिए जाते हैं।
RAG संश्लेषण — direct_answer प्रारूप के साथ सभी संग्रहीत यादों में उत्तरों को संश्लेषित करें।
आर्किटेक्चर द्वारा इन-प्रोसेस — एम्बेडिंग के लिए fastembed (ONNX), वैकल्पिक स्थानीय LLM अनुमान के लिए llama-cpp-python, भंडारण के लिए SQLite + LanceDB, और डिफ़ॉल्ट रूप से localhost पर Ollama। कोई बाहरी API कुंजी आवश्यक नहीं है। पहली बार चलाने पर आउटबाउंड नेटवर्क एक्सेस हो सकता है जब एम्बेडिंग/LLM मॉडल डाउनलोड होते हैं; मॉडल प्रीलोड होने के बाद, यह पूरी तरह से ऑफ़लाइन (एयर-गैप्ड होस्ट सहित) चल सकता है।
OCSF स्कीमा में ऑडिट लॉगिंग — हर ऑपरेशन ओपन साइबर सिक्योरिटी स्कीमा फ्रेमवर्क प्रारूप में एक संरचित घटना उत्सर्जित करता है। आप लॉग स्ट्रीम के साथ क्या करते हैं (SIEM, WORM स्टोर, कुछ नहीं) यह आप पर निर्भर है।
pip install zettelforge
from zettelforge import MemoryManager
mm = MemoryManager()
# CTI संग्रहीत करें — रेगेक्स के माध्यम से इकाइयाँ (CVEs, अभिनेता, ATT&CK IDs, IOCs) निकाली गईं
mm.remember("APT28 uses Cobalt Strike for lateral movement via T1021")
mm.remember("APT28 (Fancy Bear) targets NATO defense contractors with spear-phishing")
mm.remember("CVE-2024-3094 is the XZ Utils backdoor (CVSS 10.0) affecting sshd")