Day 17 透過 Prompt Engineering，已經可以讓 Gemini 以 SOC Analyst Assistant 的角色分析 Security Event。不過 AI 的回答雖然人看得懂，但程式不一定容易處理。
例如 LLM 可以用自然語言說明事件摘要、風險程度與建議，但每次回答的句型與排列方式都可能不同。如果未來希望將這些內容顯示在 SOC Dashboard 的不同區塊，就需要讓輸出具有固定的資料結構。
因此今天嘗試使用 Structured Output，將 AI 的分析結果轉換成 JSON 格式。
建立structured_output.py

透過 Prompt 要求 Gemini 以 JSON 格式回傳資安事件分析結果

from google import genai
client = genai.Client()
event = """
Event Type: Network Scan
Source IP: 192.168.3.100
Destination IP: 192.168.3.141
Destination Port: 80
Protocol: TCP
Signature: Possible Network Scan
Severity: 2

"""
prompt = f"""
You are a SOC Analyst Assistant.
Severity definition:
1 = High
2 = Medium
3 = Low

Analyze the following security event:
{event}
Return the result in JSON format with exactly these fields:
summary
severity
attack_type
risk
recommendation

Do not include explanations outside the JSON.
"""

response = client.models.generate_content(
    model="gemini-flash-lite-latest",
    contents=prompt
)
print(response.text)

這種方法雖然通常可以得到 JSON 格式的內容，但本質上仍然只是要求模型按照文字指令產生特定格式，未必適合程式長期穩定處理。

Structured Output

Google Gen AI SDK 支援以 response schema 約束結構化輸出。我用 Python BaseModel 來定義 SOC 分析結果的資料結構。
將內容改成:

from google import genai
from pydantic import BaseModel
client = genai.Client()
class SOCAnalysis(BaseModel):
    summary: str
    severity: str
    attack_type: str
    risk: str
    recommendation: str
event = """
Event Type: Network Scan
Source IP: 192.168.3.100
Destination IP: 192.168.3.141
Destination Port: 80
Protocol: TCP
Signature: Possible Network Scan
Severity: 2
"""
prompt = f"""
You are a SOC Analyst Assistant.
Severity definition:
1 = High
2 = Medium
3 = Low
Analyze the following security event:
{event}

Do not make the final blocking decision.
"""

response = client.models.generate_content(
    model="gemini-flash-lite-latest",
    contents=prompt,
    config={
        "response_mime_type": "application/json",
        "response_schema": SOCAnalysis,
    },
)
print(response.text)

Google 的 Gemini API 文件目前提供 Structured Outputs，能以 JSON Schema 指定模型回傳格式；Python SDK 也支援使用 Pydantic model 作為 schema。

把 Gemini 回傳的 JSON 文字，轉成 Python 可以讀取的資料

Python 解析 Gemini Structured Output 執行結果

Gemini 回傳 JSON 後，後端利用 Python 的 json.loads() 將 JSON 字串轉換為可操作的資料結構，再分別取得 summary、severity、attack_type、risk 與 recommendation 等欄位。這代表 AI 的輸出已不再只是供人閱讀的自然語言，而是能夠被後端程式進一步處理的結構化資料。