本期实验聚焦一件事：让智能体替一线分析师做告警的第一轮研判，而不是只输出分类标签。
做法分三步。先做实体归一，把 IP、域名、账号、进程哈希统一成图上的节点，避免同一台失陷主机在十条告警里被当成十个对象；再按攻击链阶段聚类，把散点告警折成一条待研判事件；最后由智能体给出结论、置信度与依据字段，人工只复核中高置信区间。
要点：
- 进展：在某客户约 12 万条/日的原始告警上，待研判工单压到千条量级，压缩比约 120:1；每条结论均可回指原始日志字段，溯源链保持完整。分析师首轮复核工时下降约四成，但全程未启用任何自动阻断。
- 下一步：把误报反馈回灌规则与检索库，重点验证跨租户迁移后的效果衰减；同时补一组红队测试，考察智能体在诱导性日志下是否会给出错误处置建议。
当前明确不碰全自动处置：低频慢速横向移动仍是主要漏检来源。先保证结论可解释、可回溯，再谈放权。
评论