安全运营里最稀缺的不是告警，而是注意力。本实验室近期把实验重点放在「告警分诊」这一环：不让智能体直接下结论，而是先做证据整理。
流程分三步：一是归一化，把 EDR、WAF、防火墙等异构日志映射到统一实体（主机、账号、IP、进程）；二是聚合，按时间窗与实体关系，把同一条攻击链上的零散告警压缩成事件簇；三是由智能体结合资产重要性、情报命中与历史处置记录，给出初判等级、依据片段与建议动作，并显式标注不确定项。
阶段性进展：在某内网试点环境中，日均约 3200 条原始告警被压缩为约 110~140 个事件簇，需要值班人员逐条阅读的对象下降约一个数量级；对高危事件我们采用「宁可进队列」的保守策略，暂不追求误报率的极致。
要点：
· 智能体的价值在证据链而非结论——每条建议都能回溯到原始日志片段，便于人工确认或驳回。
· 下一步：接入处置动作的灰度执行（隔离、封禁）并做权限最小化验证，同时将人工驳回原因结构化，用于提示词与规则迭代。
评论