推出Threat Signals：面向开源威胁情报的代理技能，所有Cloudflare账户免费使用
内容提要
Cloudflare推出Threat Signals，通过AI代理技能自动处理开源威胁情报：抓取用户选定的RSS报告，生成摘要、提取并规范化入侵指标、按账户标签体系打标，存入私有威胁事件数据集，可直接用于WAF策略。该功能面向所有账户免费开放，并提供Threat Events平台访问。企业客户可扩展更多订阅源、专有情报及自定义技能。
延伸解读
从非结构化报告到可操作情报的自动化
Threat Signals 的核心价值在于将非结构化的开源威胁报告转化为结构化、可操作的情报。传统上，分析师需要手动阅读报告、提取指标、规范化格式并打标，过程耗时且易丢失上下文。该功能通过代理技能自动完成这些步骤，并保留指标与原始报告的关联，使安全团队能快速理解威胁背景并应用于WAF策略，从而提升响应效率。
免费版与付费版的差异
所有Cloudflare账户均可免费使用Threat Signals，但免费版仅支持选择一个RSS源，数据存储30天，并提供Threat Events平台的基本访问。企业客户（Essentials、Advantage、Elite）可扩展至更多RSS源、访问Cloudforce One专有情报、生成自定义代理技能、获得更高存储选项，并基于开源和专有威胁事件创建自定义WAF规则。用户需根据自身需求评估升级必要性。
设计取舍：标签体系与溯源链接
Threat Signals 在设计中注重实用性与信任度。AI打标仅限于账户已有的标签目录，避免引入第二套词汇造成混淆，并明确区分自动与手动打标，增强分析师对自动化的信任。此外，事件与原始报告的链接被保留，帮助调查过程中追溯指标来源和背景，这一功能在早期测试中备受分析师重视。
当前局限与未来方向
目前Threat Signals主要支持RSS格式的开源报告，尚未覆盖其他数据格式和管道。Cloudflare计划未来增加更多数据摄入管道，以支持更广泛的情报来源。对于需要处理非RSS格式或专有情报的企业，当前版本可能无法完全满足需求，需关注后续更新或考虑企业版扩展能力。
Q&A
Threat Signals 是什么？它主要解决什么问题？
Threat Signals 是 Cloudflare 推出的代理技能，用于自动处理开源威胁情报。它解决的是将非结构化的研究报告转化为可操作情报的难题，通过 AI 技能自动摘要、提取并规范化入侵指标、打标签，并存入私有威胁事件数据集，可直接用于 WAF 策略。
Threat Signals 如何工作？处理流程是怎样的？
Threat Signals 通过 RSS 监控用户选定的开源报告。每个订阅源进入一个工作流，定期轮询新文章，使用 Browser Run 的 Markdown 快速操作抓取并清理文本，存入 R2。然后通过入侵指标提取器和默认的 Cloudforce One 技能生成摘要、打标签、添加上下文，最终将指标作为威胁事件存入账户私有数据集，并可与原始报告关联。
所有 Cloudflare 账户都能免费使用 Threat Signals 吗？免费版包含哪些功能？
是的，Threat Signals 面向所有 Cloudflare 账户免费开放。免费账户可获得：API 和仪表板访问 Threat Signals，并选择一个 RSS 订阅源；基于该订阅源构建的私有数据集，数据存储最多 30 天；以及 API 和仪表板访问 Threat Events 平台，用于调查事件、指标和标签。
企业客户可以扩展哪些 Threat Signals 功能？
Essentials、Advantage 和 Elite 企业客户可以扩展：增加 RSS 订阅源数量、访问 Cloudforce One 专有威胁情报数据集、生成自定义代理技能、获得更高的存储选项，以及基于开源和专有威胁事件创建自定义 WAF 规则。
Threat Signals 在打标签方面有什么特别设计？
Threat Signals 将 AI 打标签限制在账户现有的标签目录内，避免引入不熟悉的词汇。同时，它会记录标签是自动应用还是由分析师应用，这种元数据让分析师更愿意信任自动打标签，因为他们能看到具体应用了哪些标签。
Threat Signals 如何帮助分析师保留威胁情报的上下文？
Threat Signals 将每个提取的指标与账户私有数据集中的威胁事件关联，事件、指标、标签和原始报告保持连接。分析师可以随时追溯情报来源和原因，避免指标与解释其重要性的上下文分离。
Threat Signals 目前支持哪些 RSS 格式？未来有什么计划？
Threat Signals 支持 RSS 2.0、Atom 和 RSS 1.0/RDF 三种格式。未来计划添加更多数据摄取管道，以支持各种格式和管道的威胁情报，让用户能将更多可操作情报带入平台。
