$ loading_
将 SANS SIFT 取证工具封装为结构化输出，辅助自动化事件响应与威胁研判。
该 MCP 工具声明封装 SANS SIFT 取证工具并在本机执行，且未声明需要密钥或远程端点；基于现有材料未见明确高风险红旗，但因会执行代码、可能处理本地取证数据，整体应审慎使用。源码可见且采用 MIT 许可证是积极因素，但社区采用度低、维护情况未知，供应链信心有限。
材料明确标注无需密钥或环境变量，当前未见 API token、账户凭证或显式凭证外发设计；凭证暴露面较低。
未声明远程端点，但描述中提到“RAG threat intelligence”，这暗示可能存在知识检索或情报源交互；仅凭现有材料无法确认是否完全离线，因此需留意是否有未文档化的数据外发。
系统检查项已明确其会执行代码，且功能上是封装 SANS SIFT 取证工具，意味着可能在本机启动相关取证程序或命令。此类本机执行属于 MCP 工具常规能力，当前材料未显示超出声明用途的危险权限申请。
作为取证工具封装器，合理推断会接触本地磁盘镜像、日志、工件或案例数据等敏感取证材料；但材料未说明具体读写范围、是否写回原始证据或访问系统广泛目录，数据边界不清晰。
积极因素是开源、可审计且使用 MIT 许可证；但来源为第三方注册表，GitHub 仓库社区采用度为 0 star，维护状态未知，README 也缺失，导致可验证性与成熟度有限，需自行审查源码与依赖。
复制安装指令，让 AI 自动完成配置 · 推荐新手
"DeepSIFT" 暂无可直接复制的安装信息，请查看页面文档或源码仓库。
请使用 DeepSIFT 对这份磁盘镜像进行初步取证分析，提取可疑文件、时间线、持久化痕迹和已知威胁情报关联，并以结构化 JSON 返回。
返回包含可疑样本、关键时间线、持久化机制和威胁情报匹配结果的结构化取证摘要。
请用 DeepSIFT 检查这台主机的取证数据，识别异常登录、可疑进程、横向移动痕迹，并给出事件响应优先级建议。
输出主机入侵迹象清单、相关证据及按优先级排序的响应建议。
基于 DeepSIFT 的取证结果和关联威胁情报，请总结此次事件的攻击路径、影响范围、可能攻击者行为，并输出适合汇报的 JSON 摘要。
生成适合安全团队汇报的事件研判摘要，涵盖攻击链、影响评估与行为判断。
让 AI 在 SANS SIFT 上自动执行磁盘、内存与 IOC 取证分析。
用于数字取证调查，强制证据链与可验证分析，减少模型臆测风险。
自动挂载磁盘镜像并完成取证分析、恶意软件扫描与法庭报告生成
将 SIFT 工具链封装为可追溯的证据安全型 DFIR 调查 MCP 工具
用于只读磁盘镜像分诊与自校验取证分析，确保过程可验证且防篡改。
通过 Volatility 3 异步执行内存取证分析，辅助安全事件响应并降低超时与证据污染风险。