安全告警研判智能体：多源证据串联与处置建议

在实验室搭建的模拟企业内网中（含域控、Web 服务、终端 EDR 与 DNS 日志），我们让智能体以安全告警为触发点，自主调用查询工具，沿进程树、登录会话、外联域名与威胁情报逐层取证，把原本分散在多个控制台的线索串成一条可复核的证据链，并给出研判结论与处置建议（隔离主机、封禁 IP、冻结账号等）。阶段性进展：单条告警的平均研判时间从人工的 8~12 分钟降至 90 秒内，约 35% 的低危告警被判定为无需人工介入；在红队演练的横向移动场景中，证据链可还原 3 跳以内的攻击路径。当前误判主要来自业务脚本的合法外联，我们通过白名单基线与人工反馈闭环持续修正。下一步计划接入云工作负载与身份日志，验证跨域场景下的研判一致性，并评估断网环境中的本地化推理方案。