サイバー脅威インテリジェンスのために構築された唯一の有力メモリシステム。

シニアアナリストが葉を離れると、顧客環境、以前の調査、俳優TTP、偽陽性パターン、すべてのハードウォンが「待っていた」、それらで2〜3年を経た。 ZettelForge は、コンテクストがチームにとどまるように構築された有能なメモリシステムです。

アナリストノートと脅威レポートからCVE、脅威の俳優、IOC、ATT&CK技術を抽出し、エイリアス(APT28 = ファンシーベア = STRONTIUM = ソファーシー)を解決し、STIX 2.1の知識グラフを構築し、過去の調査を分析し、MCPを介してClaudeコードを自然言語でサポートします。 プロセス全体を実行します。 APIキーはありません。 雲無し。 ホストのデータが残らない

スター・pip install zettelforge・Docs・ThreatRecall(ホスト)・Changelog

v2.6.2(2026-04-27):すべての列フィールド(LLM/embeddingプロバイダー、ログレベル、PIIアクション、合成フォーマット)と作業Applyボタン用の作業ドロップダウンでWebエディタを構成します。 新しい [[[crewai]]] は、CrewAI ツールとして ZettelForge を余分に割く - [pip install zettelforge[crewai]]。 完全な変更ログ

ZettelForge

The only agentic memory system built for cyber threat intelligence.

When a senior analyst leaves, two or three years of context walks out with them — customer environments, prior investigations, actor TTPs, false-positive patterns, every hard-won “wait, we’ve seen this before.” ZettelForge is an agentic memory system built so that context stays with the team.

It extracts CVEs, threat actors, IOCs, and ATT&CK techniques from analyst notes and threat reports, resolves aliases (APT28 = Fancy Bear = STRONTIUM = Sofacy), builds a STIX 2.1 knowledge graph, and serves every past investigation back to your analysts — and to Claude Code via MCP — in natural language. Runs entirely in-process. No API keys. No cloud. No data leaves the host.

Star · pip install zettelforge · Docs · ThreatRecall (hosted) · Changelog

v2.6.2 (2026-04-27): Config web editor ships with working dropdowns for all enum fields (LLM/embedding provider, log level, PII action, synthesis format) and a working Apply button. New [crewai] extra exposes ZettelForge as CrewAI tools – pip install zettelforge[crewai]. Full changelog

If ZettelForge fits a CTI workflow you run, a star is the fastest signal that this category is worth continuing to invest in.

The problem

Every SOC loses analysts. When they leave, investigation context, actor attribution, and environment-specific false-positive patterns go with them. Their replacements re-open the same tickets, re-read the same reports, and re-build the same mental models from scratch.