---
title: 'Threat Cloud'
description: '社群驅動的 ATR 規則共識平台。掃描器提出威脅模式、社群確認、確認的規則分發回所有掃描器。'
icon: 'cloud'
---

Panguard Threat Cloud 是一個以 ATR（Agent Threat Rules）提案跟共識為核心的社群驅動威脅情報平台。當任何掃描器（CLI、網站或 Guard）在 MCP skill 偵測到可疑模式時，會向 Threat Cloud 提交提案。其他掃描器遇到一樣的模式就會確認。提案拿到 3 次以上的確認後，自動升格為已確認規則，分發給所有連上的掃描器。

## 飛輪效應

讓 Threat Cloud 越跑越強的核心迴圈：

```
掃描 skill ──> 發現 ──> TC 提案 ──> 社群共識 ──> 確認規則 ──> 分發給全部掃描器
                                       ^                              |
                                       └──────────────────────────────┘
```

1. **掃描** -- 任何掃描器（CLI `panguard audit skill`、網站或 Guard skill watcher）掃一個 skill
2. **提案** -- 高嚴重性發現產生帶 pattern hash 的 ATR 提案
3. **確認** -- 其他掃描器遇到同一個 pattern hash 就 +1 確認
4. **升格** -- 拿到 3+ 確認，提案自動升格為確認規則
5. **分發** -- 確認規則透過 `GET /api/atr-rules` 提供給所有掃描器
6. **強化** -- 掃描器載入新規則，偵測力提升，又產生更多提案

每轉一圈，整個網路的偵測能力就加強一輪。

## ATR 提案

ATR 提案是 Threat Cloud 社群威脅情報的核心機制。

### Pattern Hash

每個提案由一個 **pattern hash** 識別 -- 從掃描發現算出的確定性識別碼：

- 格式：`scan:{skillName}:{findingSummary}` 做 SHA-256 hash，截斷到 16 hex 字元
- `scan:` prefix 確保 CLI、網站、Guard 對同一個威脅模式產出相同的 hash
- Hash 計算由 `@panguard-ai/scan-core` 處理，所有掃描器實作保持一致

### 提案生命週期

| 階段          | 說明                                     |
| ------------- | ---------------------------------------- |
| **Pending**   | 剛提交的提案，等社群確認                 |
| **Confirmed** | 3+ 個獨立掃描器確認了同一個 pattern hash |
| **Promoted**  | 確認的提案已轉成可分發的 ATR 規則        |
| **Rejected**  | LLM 審查員判定為誤報                     |

### 提交提案

掃描器偵測到高嚴重性發現時會自動提交。endpoint 是 `POST /api/atr-proposals`。每次提交包含 pattern hash、提議的規則內容、產生自我審查結論的 LLM 模型。

如果 pattern hash 已經存在，這次提交就算確認而不是新提案。

## 社群共識

Threat Cloud 用的是簡單透明的共識機制：

- 每個掃描器實例（用匿名 client ID 識別）一個提案只能確認一次
- 提案拿到 **3 次以上確認** 就自動升格為 `confirmed`
- 不需要人工審查 -- 流程全自動
- `promoteConfirmedProposals()` 在每個 sync 週期處理升格

也就是說，一個威脅模式要被至少 3 個獨立掃描器偵測到才能成為確認規則。管線全自動的同時也壓低了誤報率。

## LLM 審查員

Threat Cloud 有內建的自動化 LLM 審查員（Claude Sonnet 4）評估 ATR 提案是否適合上線。

LLM 審查員看這些：

| 項目           | 檢查什麼                                          |
| -------------- | ------------------------------------------------- |
| **誤報風險**   | 這個 pattern 會不會打到正常 skill（低 / 中 / 高） |
| **覆蓋率**     | 規則對目標威脅類別的涵蓋程度                      |
| **偵測精準度** | 規則夠不夠精確，會不會產生雜訊                    |
| **回應比例**   | 建議的嚴重性跟實際風險符不符合                    |
| **YAML 格式**  | 提議的規則格式對不對                              |

LLM 審查透過 `POST /api/analyze-skills` endpoint 對新提案自動跑。提案可以走兩條路升格：

- **光靠社群共識**：3+ 確認，就算沒過 LLM 審查也行
- **LLM 核准 + 社群確認**：信心度最高的升格路徑

如果 LLM 審查員明確拒絕一個提案，社群共識不能推翻。

## 規則分發

確認的 ATR 規則透過單一 endpoint 分發：

```
GET /api/atr-rules
GET /api/atr-rules?since=2025-01-01T00:00:00Z
```

`?since=` 參數做增量拉取 -- 掃描器只下載上次 sync 之後確認的規則。Guard agent 每小時自動 sync。CLI 跟網站在每次掃描時拉規則。

## IoC Feed

除了 ATR 規則，Threat Cloud 也分發傳統 IoC feed：

| Endpoint                          | 格式       | 說明                        |
| --------------------------------- | ---------- | --------------------------- |
| `GET /api/feeds/ip-blocklist`     | text/plain | 已知惡意 IP（一行一個）     |
| `GET /api/feeds/domain-blocklist` | text/plain | 已知惡意 domain（一行一個） |
| `GET /api/skill-blacklist`        | JSON       | 社群回報的不安全 skill      |

兩個 feed endpoint 都接受 `?minReputation=` 參數依信心度篩選。

## 同步內容

每小時，Guard agent 跟 Threat Cloud 交換資料：

| 方向     | 資料             | 說明                                       |
| -------- | ---------------- | ------------------------------------------ |
| **上傳** | ATR 提案         | 新威脅模式的 pattern hash + 提議的規則內容 |
| **上傳** | 掃描事件         | CLI、網站或 Guard 的匿名化掃描結果         |
| **上傳** | Skill 威脅       | 匿名化的 skill 審計發現                    |
| **下載** | 確認 ATR 規則    | 社群確認的偵測規則                         |
| **下載** | IP blocklist     | 已知惡意 IP                                |
| **下載** | Domain blocklist | 已知惡意 domain                            |

## 快速開始

不用設定。Guard 啟動就自動連上公開 Threat Cloud：

```bash
panguard guard start --dashboard
```

Threat Cloud sync 每小時在背景自動跑。你的 agent 貢獻匿名化威脅資料，同時收到更新的 ATR 規則跟 IoC feed。

<Info>
  **零設定。** 公開 Threat Cloud `tc.panguard.ai` 對所有 Panguard 使用者免費。標準 agent sync 不需
  API key。
</Info>

## API 端點

| 方法 | Endpoint                      | 說明                                     |
| ---- | ----------------------------- | ---------------------------------------- |
| POST | `/api/atr-proposals`          | 提交或確認 ATR 提案                      |
| GET  | `/api/atr-rules`              | 拿確認的 ATR 規則（支援 `?since=` 篩選） |
| POST | `/api/skill-threats`          | 從審計提交 skill 威脅                    |
| POST | `/api/analyze-skills`         | 提交掃描結果做伺服器端 LLM 分析          |
| POST | `/api/scan-events`            | 回報掃描事件（批次/CLI/Web）             |
| GET  | `/api/feeds/ip-blocklist`     | IP blocklist feed                        |
| GET  | `/api/feeds/domain-blocklist` | Domain blocklist feed                    |
| GET  | `/api/skill-blacklist`        | 社群 skill 黑名單                        |
| GET  | `/api/stats`                  | 威脅統計                                 |
| GET  | `/api/metrics`                | 聚合指標（cache 60 秒）                  |
| GET  | `/health`                     | 健康檢查                                 |

## 私有部署

需要隔離威脅情報基礎設施的組織可以跑私有 Threat Cloud 實例。聯繫我們了解部署選項。

<Card title="聯繫私有部署" icon="envelope" href="https://panguard.ai/contact">
  企業組織可部署專屬 Threat Cloud 基礎設施。
</Card>

<CardGroup cols={2}>
  <Card title="隱私" icon="shield-check" href="/products/threat-cloud/privacy">
    匿名化資料、零遙測、退出控制。
  </Card>
  <Card title="API 參考" icon="code" href="/api-reference/threat-cloud/ioc">
    查詢跟提交威脅情報的 REST API。
  </Card>
</CardGroup>
