在安全运营中心（SOC）的真实场景里，一线分析师每天面对的多是重复度高、上下文缺失的告警。我们尝试把智能体（Agent）放到告警分诊环节，而不是直接替代研判结论。
做法上分三步：先做日志与资产上下文对齐，将告警挂到具体主机、账号与业务归属上；再由智能体按 MITRE ATT&CK 归类，给出攻击链位置与关联证据；最后输出可执行的处置建议（封禁、隔离、加白、继续观察四类），并保留人工确认节点。
阶段性进展：在内部测试集约 1.2 万条告警上，智能体预分诊把需要人工深挖的比例从约 38% 降到 15% 左右，平均首响时间由 26 分钟缩短至 9 分钟；被误判为高危的样本会作为回归用例持续回流。
要点：模型不执行自动阻断，所有处置动作均需人工确认；下一步计划接入端点与身份侧数据源，验证跨源关联对横向移动类告警的识别增益。
评论