安全告警分诊智能体：降噪与证据链整理

在中小规模安全运营场景中，告警疲劳是普遍问题：SIEM、EDR、防火墙与身份系统各自出告警，分析师需要手工关联时间线、IP、账号与进程，才能判断是否真实事件。网络安全智能体实验室本阶段尝试把大模型智能体放在分诊环节，而不是直接做封禁决策。

做法是先将多源日志归一化为统一事件模型，再由智能体完成三件事：按实体与时间窗口聚合相关告警；给出初步定性（真实事件/可疑/噪声）与置信度；整理可复核的证据链，包括原始日志引用、受影响资产和建议排查步骤。所有输出保留人工确认环节，处置动作仍由既有剧本执行。

阶段性进展：在内部测试环境（约200台主机，日均3万至5万条原始事件）中，智能体将事件聚合为日均40至80条待研判队列，人工抽查显示噪声压缩约七成，但跨天低频攻击链仍有漏关联。