这是系列的最后一篇正文，回答一个从 00 篇就该回答、但一直留着的问题：
“这玩意儿到底得花多少钱？”
无论你是想自己搭一套的工程师，还是被"降本增效"追着跑的 IT 负责人，这个问题不回答清楚，前面 16 篇都是纸上谈兵。老板不听架构，只听报价。
先把答案放在最前面，然后逐项拆账：
| 成本项 | 一年花费 | 说明 |
|---|---|---|
| 硬件 | ≈ 0 元（或一次性 1,500 元） | 用闲置旧机器，或买台二手小主机 |
| AI 套餐 | 6,456 元/年（538 元/月 × 12） | GLM Coding Plan Pro——一笔同时覆盖写代码和 SOC 运行时 |
| 电费 | ≈ 200 元 | 8G 机器 7×24，按 0.6 元/度 |
| 软件/许可 | 0 元 | 全开源栈：Wazuh + PostgreSQL + OpenSearch |
| 钱的总计 | ≈ 6,700 元/年 | 约合每月 560 元 |
| 你的时间 | 见正文估算 | 真正的成本，但可控 |
先说清楚一件事：这套账不是"200 元"。很多博客会把 AI 写成"免费"——因为 glm-4-flash 在智谱标准 API 的定价表上确实是免费（限时期额内输入输出均为 0 元）。
但如果你像多数人一样买的是 GLM Coding Plan（专门给写代码用的订阅包），那账单是实打实的：
| 套餐 | 月付 | 5 小时积分 | 每周积分 |
|---|---|---|---|
| Lite | 118 元 | 2,000 | 10,000 |
| Pro（本文这套在用） | 538 元 | 12,000 | 60,000 |
| Max | 约 792 元 | 28,000 | 140,000 |
（2026-07-30 改版后价格，此前 Lite/Pro/Max 是 49/149/469 元；改版同时从"按 prompt 次数"改成了"按 Token 积分"）
所以这一篇算的是两本账：你每月实际付出的 538 元（真金白银），和 AI-miniSOC 自己额外消耗的那部分（几乎为零）。把这两本账分开看，才不会自欺欺人。
一、先算对手的账：不自己搭，你要付多少？
成本只有对比才有意义。中小企业想有 SOC 能力，市面上三条路：
| 路线 | 一年成本 | 你得到什么 | 适合谁 |
|---|---|---|---|
| 全托管安全 SaaS（MDR/云安全托管） | 3 万 - 15 万/年 | 有人替你看告警，但资产盘点、定制分析还是你自己的事 | 完全没有 IT 人员的小微企业 |
| 商业 SIEM 自建（Splunk/奇安信一类） | 20 万+/年（许可+硬件+实施） | 功能全，但需要专人维护，一个人根本玩不转 | 有安全团队的中大型企业 |
| 开源 + AI 自建（本系列方案） | ≈ 6,700 元/年 + 你的时间 | 全套能力，数据不出内网，完全可控 | 有一台闲置机器、肯投入时间的工程师/IT 负责人 |
第三条路就是 AI-miniSOC 走的路。6,700 元 vs 3 万起，是 4-5 倍的差距；vs 20 万+，是 30 倍。
注意它不是"更便宜所以更差"——它换来的是另外两样东西：数据不出内网（安全合规）、每个功能都能改（商业产品做不到）。
代价呢？代价是你的时间。所以时间账要算清楚，不能糊弄。
二、逐项拆账：每一分钱花在哪
2.1 硬件：一台 8G 内存的小服务器
01 篇就说过：整套系统的目标硬件是 8 GB 内存的小服务器。这是个刻意的约束——
- PostgreSQL + 后端 + 前端 nginx：常驻内存约 1.5 GB
- Wazuh（含 OpenSearch）：这是大头，约 4 GB
- 采集器、Loki：约 1 GB
- 剩余：系统 + 余量
真实运行数据：生产库 32 MB、75 台资产纳管 19 台、日告警 2 万+ 条——一台 8G 机器扛住了全部，还能顺便跑 CI/CD（16 篇的 self-hosted runner 就装在同一台机器上）。
三种硬件方案：
| 方案 | 一次性成本 | 说明 |
|---|---|---|
| 家里/公司闲置的旧 PC 或小主机 | 0 元 | 最常见的情况——很多人的 NAS、退役办公机都够格 |
| 二手小主机（如 N100 迷你机） | ≈ 1,500 元 | 想要低功耗、体积小 |
| 云服务器（2C8G） | ≈ 1,000-2,000 元/年 | 没有物理机的备选；但数据在云上，与本方案"数据不出内网"的初衷有出入 |
推荐第一种。成本核算的意义就在这：知道 8G 够用，你就不会为"万一要 32G"多花冤枉钱。
2.2 AI 套餐：538 元/月，一笔覆盖两件事
这是整篇账目里唯一的大项，也是最容易被算错的一项。
先说清楚钱从哪来。 AI-miniSOC 用的模型是 glm-4-flash（09 篇讲过），在智谱标准 API 的定价表上，它的输入输出目前是限时期额免费（官方定价页）。
但绝大多数开发者（包括这套系统最初的设计）拿的是 GLM Coding Plan——专门为 Claude Code、Cursor 这类编程助手准备的订阅包。它是实打实按月付费的：
| 套餐 | 月付 | 5 小时积分 | 每周积分 | 约合 GLM-5.3-Flash 每周额度 |
|---|---|---|---|---|
| Lite | 118 元 | 2,000 | 10,000 | 1.46~2.92 亿 tokens |
| Pro | 538 元 | 12,000 | 60,000 | 8.77~17.55 亿 tokens |
| Max | 约 792 元 | 28,000 | 140,000 | 20.47~40.95 亿 tokens |
这笔 538 元/月在账本里怎么记？答案是"记一次，不记两次"。
Coding Plan 的额度按 Token 积分制计算（2026-07-30 改版），写代码的消耗和 SOC 运行时的消耗走同一个积分池。也就是说：
- 你不用为 AI-miniSOC 单独买一份 API 额度
- 也不用担心"SOC 跑起来把写代码的额度吃光"——它们是同一个池子，一个月的总额度是 12,000 积分/5 小时、60,000 积分/周
- 算一下余量：Pro 档每周 60,000 积分，折合 GLM-5.3-Flash 约 8.77~17.55 亿 tokens/周。而 AI-miniSOC 的调用量是多少？日限 500 次封顶，单次约 2K 输入 + 500 输出 token——一周满打满算也就几百万 token，占额度的千分之几
所以真实的账是：你每月付 538 元（写代码 + SOC 运行时一起覆盖），AI-miniSOC 本身几乎不产生额外账单。 这和"再买一份 API 按量付费"是完全不同的两件事。
但别把 Coding Plan 当成可以无限用的免费池。 官方 FAQ 明确写着：套餐仅限在指定工具与产品环境中使用，在规定工具外调用 API 不可享用套餐额度。所以这套账本成立的前提是：
- 你本来就买 Coding Plan 写代码 → SOC 的调用量在同一个池子里，成本是增量的零
- 你不写代码、只为 SOC 服务 → 那就得走标准 API 按量计费，glm-4-flash 当前免费，但限时期额有结束的可能——架构上从没把它当依赖（09 篇的多 provider、11 篇的降级链），所以政策一变就是换个配置的事
另外还有三层护栏在管用量（09 篇讲过，这里从成本角度复述）：
QPS 上限 2（最小间隔 0.5s）
单日调用上限 500 次——超了直接降级，次日自动恢复
熔断器：5 分钟内失败 5 次断 10 分钟
这套护栏的经济学意义：把"万一失控"的上限钉死。就算某个消费点出了 bug 死循环调用，一天最多 500 次就停——最坏情况也是可计算的。
2.3 电费：唯一持续的现金成本
8G 小主机满载功率约 25W，实际平均 15-20W。按 20W × 24h × 365 天 = 175 度，民用电 0.6 元/度 ≈ 105 元/年。算上空调、路由器等连带，取 200 元/年 留余量。
这就是全部的现金成本。如果机器本来就是 7×24 开着的（比如你的 NAS），边际电费成本也趋近于零。
2.4 软件：全开源栈的隐藏条款
用到的核心组件全部开源免费：Wazuh（GPL）、PostgreSQL、OpenSearch、Loki、FastAPI、Vue。没有许可证费，但有两件事要想清楚：
- 开源不是零责任——安全更新要自己跟（好在 16 篇的 CI/CD 让升级变成一次 push）
- 数据才是核心资产——你的资产清单、告警历史、行为画像全在这台机器上，备份策略必须有（哪怕最简单的：定期 pg_dump + 配置文件同步到另一台机器）
三、真正的成本：你的时间
到这里，钱的账算完了——但任何自建方案的最大成本都是时间，回避它就是自欺。
诚实地拆。基于 AI-miniSOC 的真实开发历程（662 个 commit，2026 年 3 月到 11 月，约 8 个月）：
| 阶段 | 时间投入 | 说明 |
|---|---|---|
| 初次搭建（02-05 篇的内容） | 2-3 个周末 | 部署 Wazuh/数据库、接第一个 Agent、调通采集 |
| 日常运营（稳定期） | 每周 1-2 小时 | 看每日摘要、处置 Top 告警、偶尔调阈值 |
| 功能迭代（按需） | 不定 | 你想加什么就投多少——这是可选项不是义务 |
关键在第二行：稳定期的运维成本是每周 1-2 小时。这个数字不是拍脑袋，是系列前 16 篇所有工程化的直接回报：
- 14 篇告警治理 → 每天不用泡在告警里（2 万条 → Top5）
- 12 篇主动推送 → 异常主动找人，不用巡检
- 16 篇 CI/CD → 部署零手工
- 13 篇 MCP → 让 Claude 替你查，连登录系统都省了
没有这些，“一个人的 SOC"就是每周 20 小时的黑洞——这正是很多人"搭了 SOC 又荒废了"的原因。自建的成本公式里，时间项的大小完全取决于工程化做没做。
换个角度算：全托管 SOC 一年 3 万起。如果你的时薪按 150 元算，工程化投入每省下 200 小时/年，就等于省下 3 万。前面 16 篇做的所有"过度工程”，本质上都是在给这个时间项打折。
四、效果如何：这台机器替你干了什么
成本要对着产出算。这台"年度增量成本 200 元"的机器，当前的实际产出（真实数据，非演示）：
| 产出项 | 数据 |
|---|---|
| 资产纳管 | 75 台资产、19 台装 Agent 持续监控 |
| 告警处理 | 日均 2 万+ 条归并为 70 簇、AI 研判 Top20 |
| 自动产出 | 每日 08:00 摘要、周报/月报/事件报告自动生成 |
| 异常响应 | 8 个推送场景 30 分钟一轮巡检，异常邮件/站内信直达 |
| 代码规模 | 后端 11.6 万行 + 前端 7.6 万行，662 个 commit，全开源可复现 |
最后一行说明：这套账不是只对我成立。整个项目 MIT 开源（GitHub），你 clone 下来照着 02 篇走，硬件清单和成本模型原样适用——省掉的是 8 个月的开发时间，这正是开源的意义。
这台机器每天开着的样子——仪表板顶部一排 KPI（活跃告警簇 57、待处置事件 13、高危漏洞 1697、资产纳管率 25%），中间是告警簇趋势和事件处置漏斗，下面是 AI 洞察（过去 7 天完成 231 个告警簇的群体研判）和我的待办。这就是"每周 2 小时"里你打开的那一屏——其余 166 个小时，它在自动跑：
常见问题
Q：到底该买 Coding Plan 还是按量付费 API？
A：看你写不写代码。
- 你已经在用 Claude Code / Cursor 这类工具 → 买 Coding Plan 最划算。Pro 538 元/月一个池子，写代码和 SOC 运行时一起覆盖，SOC 那点调用量占额度千分之几，边际成本为零
- 你只为 SOC 服务 → 走标准 API 按量计费。glm-4-flash 当前输入输出限时期额免费，但别赌政策不变
两种情况系统都支持（多 provider 配置，09 篇讲过），切换是配置层面的动作，不是代码改动。
Q：官方说 Coding Plan 额度"仅限指定工具使用"，我这个算违规吗？
A：这是必须诚实说明的一点。官方 FAQ 原文：「套餐仅限在官方支持的指定工具与产品环境中使用，在规定工具外调用 API 不可享用 Coding 套餐的额度。」
所以本文这套账本成立于你本来就买 Coding Plan 写代码的场景——SOC 的调用量小到几乎不影响你的额度池，用量统计页面上根本看不出来。如果你的用法超出了套餐条款，该走标准 API 按量计费——这不是钻空子，是把自己的用量摆在明面上算。
Q：免费政策哪天变了怎么办？
A：架构上从不把任何单一模型当依赖（09 篇的多 provider、11 篇的降级链都是为此）。真变了就换模型：切换是配置动作。用免费资源，但按它随时会消失来做设计，这是本系列一贯的姿态。
Q：8G 内存真的够吗？我家机器 4G 行不行？
A：4G 跑 Wazuh 全家桶会很勉强（OpenSearch 一个就要 2-4G）。两个选择：用 Wazuh 的 all-in-one 精简部署，或把 OpenSearch 换成轻量存储。但更建议直接找台 8G 的——旧机器不值钱，卡顿浪费的时间更值钱。
Q：云服务器跑这套，成本怎么算？
A：2C8G 云主机约 1,000-2,000 元/年（活动价更低），成本依然远低于 SaaS。但要想清楚两个让步：数据在云上（有些行业不允许）、公网暴露面变大（要配好防火墙和 15 篇那套权限）。有物理条件就优先内网物理机。
Q：时间成本每周 1-2 小时，凭什么这么低？
A：不是天然的，是 16 篇工程化换来的。对照公式：不做人机协同设计，每天看告警就要 1 小时；不做自动报告，每周写周报要 2 小时；不做 CI/CD，每次上线半小时。工程化投入是预付的时间税，交过之后运维成本才降得下来。想抄作业又想省这个税，最后都会回到"搭了又荒废"。
Q：我怎么说服老板批准这个方案？
A：给他看这一篇的四行对比：SaaS 一年 3 万起、商业自建 20 万+、这条路线一年约 6,700 元（其中 6,456 是你本来就要花的 AI 套餐）+ 每周 2 小时，且数据不出内网。
关键在于把增量说清楚：AI 套餐那 6,456 元你写代码也要花，SOC 的真实增量成本只有电费 200 元 + 每周 2 小时。这句"增量"讲明白，比报总数更有说服力。
再补一句：项目 MIT 开源，先在自己那台旧机器上跑两周试试，不行随时撤——沉没成本几乎为零，这是它最好卖的一点。
收尾：17 在系列中的位置——账算完了，选择交给你
| 系列主线 | 篇目 |
|---|---|
| 为什么 & 怎么搭（00-08） | 愿景、架构、部署、采集、资产 |
| AI 副手五部曲（09-13） | 底座、消费点、可靠性、成果、外放 |
| 工程化三件套（14-16） | 告警治理、权限、CI/CD |
| 成本账本（收官） | 17（本篇） |
00 篇说中小企业需要自己的安全运营中心，这一篇回答了它最现实的追问：需要花多少钱。答案是——一台旧机器的电费，加一个被 16 篇工程化驯服到每周 2 小时的时间成本。
老李给老板看的年度预算只有一行：“安全运营：AI 套餐 538 元/月（和写代码共用一个池子），电费约 200 元/年。” 老板问：AI 还要花钱？出事了谁负责？ 老李打开手机：这是本周的告警摘要，5 个必处理项已全部闭环，这是处置记录、这是 AI 研判的依据。 这是资产台账，75 台，实时更新；这是去年同期的安全事件数对比。 老板看了很久，说：明年预算还是这一行吗？ 老李说：可能要加一条——再找台旧机器做备份。
最好的成本结构是：钱少到不值得设卡，时间少到不占用人生，产出多到随时可验证。 这三件事，一台 8G 机器、662 个 commit、17 篇文章，都做到了。
而这一篇最想留下的其实不是数字，是算账的方法：先分清"你本来就要花的钱"和"这个方案额外产生的钱"，再把额外的那部分摆到台面上。6,700 元的总价不可怕，可怕的是说不清这 6,700 里有多少是新增的。
系列到这里主线完结（18 篇路线图作为番外待续）。谢谢你读到这里——如果这个系列让你翻出了家里那台旧机器，欢迎来 GitHub 交个朋友。
【系列导航】《一个人的SOC》总目录（18 篇完整导航）
【上一篇】(16) CI/CD 全链路——1.5 分钟自动部署与失败自动回滚
【系列开篇】(00) 中小企业为什么需要自己的安全运营中心
【项目地址】AI-miniSOC - GitHub · MIT 开源，欢迎 Star ⭐
【Gitee 镜像】 https://gitee.com/xiejava/AI-miniSOC
【交流】 你所在公司的安全预算一年多少？花在哪了？欢迎来 Issue 聊聊——真实的行业成本数据，对每个读者都有价值。
作者博客：http://xiejava.ishareread.com/
关注：微信公众号，一起学习成长！