安全告警降噪智能体实验：从告警洪流到可处置事件

本期进展来自网络安全智能体实验室的告警研判方向。我们把 SOC 中最常见的痛点——告警量大、上下文缺失、值班人员反复做同一类判断——拆成一个可验证的小任务：为每条告警补齐资产、身份、历史行为与情报四类证据，再由智能体输出“可处置 / 需观察 / 误报”三类判断与处置建议。实验环境使用公开告警数据集与自建靶场，先做只读分析，不触发任何阻断动作，所有结论保留证据链与推理记录，便于人工复核。

· 进展与数据：在约 1.2 万条历史告警上回放，经自动归并与降噪后，需要人工实际处置的事件量降至原来的约 35%；对已知误报的识别召回率约 0.86，同时将“高置信误报”单独标记，避免误关真实攻击。

· 下一步计划：引入工具调用（查资产库、看进程树、比对威胁情报），并设置最小权限与人工确认闸门；重点验证跨告警链条的关联能力，以及模型在证据不足时是否愿意回答“不确定”。