Dynatrace webhook  →  Agent Builder 接收告警  →  Gemini 推理  →  MCP 工具执行  →  威胁消除
       1 秒                        2 秒                      8 秒                  15 秒                  总计 25 秒

┌──────────────────────────────────────────────────────────────────────┐
│                         沙箱环境                                      │
│                                                                      │
│   ┌─────────────┐   100–1000 req/s   ┌──────────────────────────┐   │
│   │  攻击方       │ ──────────────────►│   受害者服务              │   │
│   │ (DDoS/SQLi)│                    │   端口 8080               │   │
│   └─────────────┘                    │   /admin/* 控制 API      │   │
│                                      └────────────┬─────────────┘   │
└───────────────────────────────────────────────────│──────────────────┘
                                                    │ 指标 + 异常 webhook
                   ┌────────────────────────────────▼─────────────────┐
                   │         Dynatrace Mock (异常引擎)                 │
                   │  威胁风险评分 → 触发 POST /alerts/simulate        │
                   └────────────────────────┬─────────────────────────┘
                                            │ webhook
          ┌─────────────────────────────────▼──────────────────────────┐
          │          Google Cloud Agent Builder (Vertex AI Agent)      │
          │  ┌──────────────────────────────────────────────────────┐  │
          │  │  Gemini 2.0 Flash  ──  对威胁上下文进行推理          │  │
          │  │  工具清单  ──  从 MCP 动态获取                        │  │
          │  │  HITL 门控  ──  置信度低于阈值时暂停                  │  │
          │  └──────────────────────────────────────────────────────┘  │
          └──────────────┬─────────────────────────┬───────────────────┘
                         │ REST 调用                │ 审计写入
         ┌───────────────▼──────┐      ┌────────────▼──────────┐
         │  MCP 服务器 :8001    │      │  MongoDB 7.0 Atlas    │
         │  11 个真实工具       │      │  事件 + 轨迹          │
         └───────────┬──────────┘      └───────────────────────┘
                     │ 作用于实时基础设施
         ┌───────────▼──────────┐
         │  FastAPI :8000       │
         │  victims-service :8080 │
         └──────────────────────┘

                   ┌──────────────────────────────────────────────────┐
                   │              可观测性栈                          │
                   │  OTel Collector ──► Jaeger (分布式链路追踪)      │
                   │  Prometheus ──────────────► Grafana              │
                   └──────────────────────────────────────────────────┘

.\attack.production.ps1 status   # 验证所有服务健康
.\attack.production.ps1 ddos     # DDoS — Gemini 封锁 IP + 限速
.\attack.production.ps1 sql      # SQL 注入 — Gemini 激活 WAF
.\attack.production.ps1 brute    # 暴力破解 — Gemini 封锁源 IP
.\attack.production.ps1 stop     # 重置防御

class SentinelAgent(reasoning_engines.Queryable):

    def set_up(self):
        # MCP 工具作为 Vertex AI FunctionDeclarations — Gemini 运行时选择
        mcp_tools = Tool(function_declarations=[
            FunctionDeclaration(name="block_ip_address", ...),
            FunctionDeclaration(name="activate_waf", ...),
            FunctionDeclaration(name="rate_limit_requests", ...),
            FunctionDeclaration(name="scale_service", ...),
            FunctionDeclaration(name="collect_forensic_logs", ...),
            FunctionDeclaration(name="analyze_attack_pattern", ...),
        ])
        self._model = GenerativeModel("gemini-2.0-flash-001", tools=[mcp_tools])
        self._chat = self._model.start_chat()

    def query(self, *, incident: dict) -> dict:
        # 入口 — Agent Builder 每次收到 Dynatrace webhook 时调用
        response = self._chat.send_message(threat_prompt(incident))
        tool_calls = [{"name": p.function_call.name, "args": dict(p.function_call.args)}
                      for p in response.candidates[0].content.parts if p.function_call]
        return {"engine": "agent_builder", "tool_calls": tool_calls, ...}

# 本地测试（使用 google_ai_studio 后端无需 GCP）
python scripts/deploy_agent_builder.py --test-only

# 部署到托管的 Agent Builder 端点
python scripts/deploy_agent_builder.py --project my-gcp-project

# .env
GEMINI_BACKEND=agent_builder
GOOGLE_CLOUD_PROJECT=my-gcp-project
VERTEX_LOCATION=us-central1

GET /mcp/tools  →  返回 11 个工具描述  →  Gemini 选择并调用工具

docker compose up -d --build

cd simulacion
docker compose up -d victim-service
cd ..

docker compose ps
# 预期: 8 个服务运行中/健康

curl http://localhost:8000/health
# 预期: {"status": "healthy", "service": "SentinelMCP", ...}

.\attack.ps1 ddos        # DDoS 攻击（默认）
.\attack.ps1 sql         # SQL 注入
.\attack.ps1 brute       # 暴力破解
.\attack.ps1 stop        # 停止攻击 + 重置防御
.\attack.ps1 status      # 检查系统状态

http://localhost:8000/dashboard

# 编辑 .env
GOOGLE_API_KEY=AIza...your_key_here
GEMINI_BACKEND=google_ai_studio

gcloud auth application-default login
.\scripts\setup_gcloud.ps1   # 设置项目、创建 SA 密钥、自动更新 .env

GET http://localhost:8001/mcp/tools

sentinel_mcp/
├── api/              FastAPI 核心 — 路由、模式、仪表盘 UI
├── agent/            决策引擎 + LLM 提供商 (Gemini 2.0 Flash, Vertex AI)
├── mcp_server/       MCP 服务器 + 11 个工具实现
├── services/         事件服务、修复编排器、威胁计算器
├── observability/    OTel / Dynatrace / SigNoz 提供商
└── core/             配置、日志、异常

simulacion/
├── victim-service/   带 /admin/* 控制面的 FastAPI 目标服务
└── attacker/         Python 攻击引擎 (DDoS / SQLi / 暴力破解)

docker/
├── prometheus.yml    抓取配置 (victim-service 每 5 秒)
└── grafana/          自动预配仪表盘 — 6 面板基础设施见证