安全告警AI分诊实验：从告警洪流到可研判事件

在安全运营场景中，拖慢响应速度的往往不是检测能力，而是告警分诊。一个中等规模 SOC 每天产生数千条告警，其中大部分互为同源或属于误报，分析师需要反复打开原始日志、比对资产台账、判断是否升级。我们在这条链路上做了一组实验：用智能体承担第一轮分诊，把「告警」收敛为「可研判事件」。

做法上有三点取舍：一是让模型先做归并与定性，再决定是否调用工具取证，避免无差别拉取全量日志；二是将资产重要性、暴露面、历史处置结论作为结构化上下文注入，而非让模型自行猜测；三是所有结论必须给出证据引用（原始日志行、规则命中、资产归属），无证据即降级为待人工确认。

阶段性进展：在为期一周的真实告警样本（约 1.2 万条）上，同源归并后事件数降至约 8%，高风险事件召回率 92%，误升级率较规则基线下降约三成。目前的主要瓶颈是跨天关联与时区偏差、日志补齐造成的证据断链。