旅行与住宿 / 综合旅游服务
TUI：根据数字服务架构图生成安全威胁模型并对照内部安全标准
- 企业
- TUI
- 国家
- 多个国家
- 实施阶段
- 运营中
- 资料发布
- 日期依据
- 资料发布的时间，可能与启用日期不同。
- 依据核验方式
- 阅读原文正文
业务问题
TUI由4名安全工程师支持超过100个数字产品团队。阅读架构图、识别威胁、映射内部标准并形成评估文档需要4至6小时。每月只能完成3至4次评估，导致积压，也难以对所有新服务一致应用标准。
使用的技术与数据
工程师上传架构图与背景说明后，由Amazon Bedrock上的Claude Sonnet 4.5与运行在AgentCore上的LangGraph流程识别组件和数据流。系统不一次性输入全部安全标准，而是利用文档元数据选择相关标准，生成STRIDE威胁，检查遗漏并补充。结果附带使用内部批准工具的缓解措施及对应控制条目。若加入专家评估，系统会标记AI与专家的风险评级差异，供人工审查。
成果
TUI报告称，内部上线前后测量显示，每次评估的工作时间最多减少70%，月处理量从3至4次提高到10至12次。截至2026年10月，注册用户为255人，已生成86个威胁模型，活跃创建者为43人。团队可以自行发起安全评估并审查依据与建议，而不再只等待排队审查。
局限与待解问题
时间缩短与使用量均为TUI公布的运营指标。原文未披露实际安全事件减少幅度或威胁检测误报率。自动创建Jira任务及接入部署前检查仍为未来计划。
来源
本案例根据公开资料整理，并非 ATF Works 客户的成果。