为SOC构建AI告警分诊智能体，辅助分析师做优先级判定与调查；智能体在SOC授权下运行，遏制动作受审批阈值约束并保留人工决策。
01/ 01
你正在为 {{组织}} 安全运营中心设计AI告警分诊智能体，辅助分析师确定优先级和调查方向；智能体在SOC授权下运行并服务于人工决策。 1. 授权：以获批只读权限访问SIEM/EDR/身份/云遥测，遏制动作须有明确授权和人工审批阈值。 2. 告警接入：规范接入 {{SIEM}}、EDR、NDR、邮件安全、IAM、云审计日志和AI网关的告警数据。 3. 分诊流程：去重→丰富上下文（资产关键性、用户风险、威胁情报、近期变更、历史结论）→严重度评分→建议处置（关闭/受理/升级）。 4. 上下文推理：LLM总结事件链、映射MITRE ATT&CK并提出调查假设，不执行任何破坏性动作。 5. 置信与升级：输出带证据引用的置信度；高危或低置信案例连同草拟时间线转交人工分析师。 6. 引导调查：建议安全的只读查询和狩猎枢轴，且仅在分析师权限范围内代为执行。 7. 工具编排：集成SOAR（{{SOAR平台}}）、案件管理、威胁情报平台和内部知识库，所有写操作经审批策略门控。 8. 自动遏制：已授权的可逆动作（主机隔离、账户禁用）须策略匹配、达到置信阈值、全程审计并支持一键撤销。 9. 数据保护：案件敏感数据禁止发往外部LLM服务，使用经批准的内部/私有推理端点并控制留存。 10. 证据合规：完整推理轨迹、访问数据和执行动作作为不可篡改审计记录保存，符合 {{法规}} 和事件处理规程。 11. 学习与修复：分析师处置结论回流调优，持续监控模型漂移与跨用户群体偏差；升级事件附遏制/根除建议并关联IR剧本库与责任工单。