安全告警分诊智能体实验：误报收敛与人工复核

我们把安全运营中最耗人的环节——告警分诊——拆成了可验证的实验。智能体不直接做处置决策，而是承担三件事：聚合告警上下文（资产归属、暴露面、近期变更、威胁情报命中），给出研判结论与证据链，并显式标注不确定项交由人工复核。

进展：在内部测试环境接入日均约1200条原始告警，经规则预筛与智能体分层研判后，需人工介入的降至约180条，降幅约85%；对已确认的真实事件，智能体给出正确攻击链归因的比例约七成，误判主要集中在低频业务脚本与合法运维工具上。

下一步计划：引入处置SOP检索增强，使输出从“结论”走向“可执行建议”，并建立研判结果回流标注机制，用于持续校准阈值与提示词。我们的判断是，智能体的价值不在于替代分析师，而在于把人的注意力集中到真正需要判断的那一小部分告警上。