安全运营智能体定制：告警降噪与处置闭环

安全运营中心长期被告警量压着走：单日数千条告警里，真正需要处置的往往不足一成，剩下的时间都花在重复排查与记录上。我们尝试把大模型智能体放进这条链路，但限定它只做三件事：聚合、取证、给建议。具体做法是先用实体图把告警按主机、账号、IP聚类，把同一事件的碎片合成一条“事件”；再由智能体按预设工具集调取资产归属、进程树、登录日志与情报表，输出带证据链的研判结论和置信度，并映射到ATT&CK技术点。隔离、封禁等有副作用的动作一律不自动执行，只生成待批工单。阶段进展：在内部回放环境中，事件聚合把原始告警压缩到约1/12；对其中600条抽样复核，智能体研判与人工结论一致率约82%，主要分歧集中在内部扫描器与运维脚本的误报判定上。下一步计划补两类评估：一是把钓鱼邮件与终端隔离的审批链纳入测试，二是建立按攻击手法分层的评测集，跟踪漏报率，而不只看降噪比。