在网络安全智能体实验室，我们近期把研究重点放在安全运营中心（SOC）告警分诊环节。实验不直接让大模型“接管处置”，而是先解决告警上下文碎片化问题：将EDR、NDR、身份日志和工单中的实体按主机、账号、IP进行聚合，形成可追溯的事件时间线，再由模型输出分诊建议和证据引用。
阶段性进展：
- 在内部脱敏数据集上，对“需人工升级”与“可自动关闭”两类样本进行小规模评测，分诊建议的证据引用准确率较仅依赖单条告警文本的基线提升约18%，误报抑制率提升约11%，但跨天低频攻击仍存在漏判。
- 下一步计划引入资产重要性与暴露面权重，并增加“模型不确定时转人工”的阈值策略，避免自动化误关。
我们更关注可解释与可回滚：每条建议必须附带原始日志片段和置信区间，处置动作先进入待审批队列。当前结论是，智能体适合做“分诊副驾”，而非替代分析师。
评论