安全告警智能体分诊实验：降噪与可审计处置

网络安全智能体实验室近期完成一轮告警分诊智能体实验，目标不是让模型直接“自动封禁”，而是把分散在 SIEM、EDR、资产库和威胁情报中的证据组织成可复核的处置建议。系统采用“规则前置过滤 + 检索增强 + 工具调用”结构：先合并重复告警，再由智能体查询资产重要性、历史工单与 IOC 情报，最后输出判定依据、置信度和待人工确认动作。

进展：在 1,200 条脱敏历史告警回放中，重复噪声压缩约 43%；对真实入侵链路的 Top-3 建议命中率约 78%，分析师平均初筛时间从 6 分钟降至 3.5 分钟。所有结论附带日志片段和查询路径，便于审计。

下一步：重点测试提示注入、日志投毒和越权工具调用。智能体不替代安全工程师，只承担可追溯的分诊与建议生成。