把 IOC 多源查询整理为威胁情报简报

目标

自动组织威胁情报 analyst 的只读查询过程，不直接处置网络指标。

步骤

1. 准备 synthetic IOC 样例，给每个模拟工具定义清楚的参数与返回来源字段。 [threat]
2. 让 Claude 根据指标类型选择 VirusTotal/AbuseIPDB/MITRE 类工具，并按 tool_use/tool_result 循环读取返回。 [threat]
3. 输出 indicator、来源、时间、相互印证/冲突与置信限制；分析师确认后再调查。 [threat]

验证方式

所有指标查询记录可回溯模拟工具；报告明确标注 synthetic/mock 与未知项。

故障处理

来源结论冲突时并列呈现并升级分析员；未知 indicator 不代表安全。