安全告警AI降噪定制：聚合与研判优先级

在实验室近期的实验中，我们把一个安全告警研判智能体接入模拟企业 SOC 环境，数据源包含 EDR 进程树、防火墙与 WAF 日志、身份认证日志，日均原始告警约 12 万条。

做法上不做「大模型直接下结论」，而是分三段：先用实体图聚合，把同一主机、账号、IP 的告警归并为事件；再对事件做 ATT&CK 技术映射，补齐缺失上下文；最后由模型输出研判结论、置信度与可引用的证据链，低置信度事件转人工。

要点一（进展）：告警压缩比约 18:1，误报率较高基线下降约四成，平均首次响应时间缩短一半以上，结论中证据链可追溯比例超过九成。
要点二（下一步）：在只读研判基础上接入隔离主机、封禁 IP 等处置动作，并补充提示注入与越权调用的对抗测试，确保每个动作都有审批与审计留痕。