安全告警AI研判智能体：降噪与处置建议

安全运营的长期痛点不是缺告警，而是告警过载、上下文稀薄。本期实验室聚焦一个窄场景：把 EDR、防火墙与身份认证三类日志做实体对齐，由智能体完成初判、攻击链拼段与处置建议起草，最终结论仍由分析师确认。

技术上采用两段式设计：规则层先做去重、聚合与白名单收敛，模型层只处理收敛后的事件，避免大模型在噪声中空转。智能体输出被约束为结构化字段——判定、证据引用、置信区间、建议动作；每条结论必须可指回原始日志行，无法引用即不输出。

阶段性观察（内部测试环境，非生产承诺）：

• 在约 1.2 万条/周的样本中，重复与低价值告警经收敛后下降约六成，分析师日均待办从数十条降至个位数；
• 剩余误判集中在低频业务脚本与合法运维行为，下一步计划引入资产画像与变更窗口做上下文抑制，并建立误报回流标注闭环。

实验室暂不做“无人值守自动封禁”。研判可解释、处置可回滚，是这条路线继续推进的前置条件。