与 AI Agent 协作：第三代分析师的核心技能
学习目标：掌握和 AI SOC Agent 共事的具体方法 —— 怎么读它的报告、怎么纠它的判断、什么时候该相信它、什么时候必须人工接管。
为什么这是必修课
如果你 2026 年才加入 SOC，90% 的概率你的第一份工作会涉及 AI Agent。 即使你的公司还没上 AI 原生平台，传统 SIEM/SOAR 也在快速加入 AI 助手（Cortex AgentiX、CrowdStrike Charlotte、Splunk AI、Microsoft Security Copilot 等）。
新人最常见的误区是两个极端：
- 过度信任：AI 说是真阳性就执行响应，AI 说是误报就关闭 —— 这是危险的"AI 工具人"
- 完全不信任：AI 给的报告完全不看，自己重新调查一遍 —— 这是浪费 AI 价值
正确姿势是「审稿编辑」：AI 把稿子写好，你判断稿子对不对、有没有遗漏、是否需要修改。
一、怎么读 AI 调查报告
标准 AI 调查报告的四个区块
1. 结论区（Verdict）
- 判定：真阳性 / 误报 / 需进一步调查
- 严重级别：高 / 中 / 低
- 置信度：85% / 60% / ...
- 建议处置动作
2. 证据区（Evidence）
- 关键证据条目
- 每条证据的来源（哪个工具的哪条记录）
- 时间戳
3. 推理区（Reasoning）
- AI 的判断路径（一般是步骤化）
- 每一步用了哪个工具、查了什么、看到了什么
4. 影响区（Impact）
- 受影响的资产、用户、范围
- 历史关联（最近是否有类似事件）三秒钟扫读法
每条 AI 报告，先用 30 秒做一遍扫读：
| 看什么 | 怎么判断 |
|---|---|
| 结论清晰吗 | 判定 + 严重级别 + 处置建议是否齐全？模糊就要警惕 |
| 置信度多少 | 90%+ 可快速审核；60-90% 重点审；60% 以下基本要重做 |
| 证据数量 | 单一证据的判定要警惕；多源证据交叉验证更可信 |
| 时间窗合理吗 | AI 是否只看了一个时间窗？是否漏掉了之前的可疑活动 |
五个关键审稿问题
读完报告后，问自己这五个问题：
- 如果不看 AI 结论，我会得出同样判断吗？
- AI 漏掉了哪些维度？（比如只看了 EDR，没看 IAM；只看了内网，没看云）
- AI 的关键证据来源可靠吗？（如果 IP 信誉查询是某个不更新的库，那就要慎重）
- 建议处置动作的"破坏半径"多大？（隔离一台主机 vs 封禁全公司账号差别巨大）
- 如果这是真威胁，AI 给的处置够吗？（AI 可能给了"隔离"建议但没建议"溯源"）
二、什么时候相信 AI，什么时候不相信
高置信度场景（适合快速审批）
| 场景 | 为什么可以相信 |
|---|---|
| 已知钓鱼模板的告警 | 有大量训练样本，AI 判定稳定 |
| 已知恶意 IP 的连接告警 | 信誉数据可靠，结论明确 |
| 简单的弱口令登录失败 | 模式简单，AI 不易出错 |
| 重复性高的低危告警 | 大量历史数据可参考 |
对策：建立"快速审批清单"，明确哪些类型的 AI 报告可以快速 OK。
低置信度场景（必须人工深审）
| 场景 | 为什么要警惕 |
|---|---|
| 涉及业务系统、特权账号的告警 | "破坏半径"大，错判代价高 |
| 跨多个时间窗的复杂攻击链 | AI 在长程关联上能力有限 |
| 涉及内部威胁（员工异常行为） | 业务上下文 AI 难以掌握 |
| 全新攻击模式（无历史样本） | AI 没见过，可能误判 |
| AI 内部置信度低（<70%） | AI 自己也不确定 |
| 多个 AI Agent 给出冲突结论 | 必须人工裁定 |
对策：低置信度场景默认"二审制" —— AI 审一遍、人工审一遍才能执行响应。
必须人工接管的场景
下面这些场景任何情况下都不应该让 AI 自动响应：
- 涉及高管账号 / 财务系统 / 客户数据的告警
- 涉及生产业务中断风险的处置（如批量主机隔离）
- 涉及外部沟通（通知客户、监管报告）
- 涉及法律取证链路（执法、诉讼需要的证据保全）
- 涉及国家级 APT 长期潜伏的迹象
三、怎么纠偏 AI（自然语言指挥）
AI 原生平台的关键交互是用自然语言告诉 AI "下次别这样"。这是新一代的"调规则"，但表达方式完全不同。
好的纠偏指令长什么样
✗ 不好："这个误报了，关闭"
→ AI 不知道为什么误报，下次还会犯
✓ 较好："这个 IP 是我们 VPN 出口段（10.20.30.0/24），从这个段
触发的所有登录都是合法用户，下次此类告警直接判定为误报"
→ 业务规则清晰，AI 可以学习
✓ 更好："VPN 出口段（10.20.30.0/24）的登录默认正常，但如果
同时满足以下任一条件，仍需保持告警：
1. 触发时间在 23:00-06:00 之间
2. 用户账号在 24 小时内有过密码失败 5 次以上
3. 登录后 10 分钟内访问财务系统"
→ 边界条件明确，AI 不会过度泛化纠偏指令的三大原则
原则 1：用业务语言，不用规则语法
不要写 src_ip=10.20.30.0/24 AND action="login" → severity=info。 AI 不需要这种规则语法，但需要理解业务上下文。
原则 2：给出例外条件
任何"放过"的规则都要附带"但是" —— 否则 AI 会过度宽松。
"内部 IP 通常正常，但是：
- 如果连接 C2 已知 IP 仍需告警
- 如果触发横向移动指标仍需告警"原则 3：用具体案例标注，让 AI 学习
"参考 2026-05-08 那次告警（incident #1234），
那次的处置思路是正确的，下次类似情况按那个方式判断。"这等于"教学样本"，AI 原生平台一般能从历史标注中学习。
四、典型协作流程
高效流程（推荐）
1. AI Agent 接收告警 → 自动调查 → 生成报告
2. 你 30 秒扫读：结论、置信度、证据数量、影响范围
3. 高置信度 + 低破坏半径 → 直接批准执行
4. 中置信度 → 5-10 分钟深审，重点查 AI 漏掉的维度
5. 低置信度 / 高破坏半径 → 完整接管，自己重做调查
6. 每次审核完，给 AI 一句自然语言反馈（哪怕是"判得对，继续"）
7. 周期性回顾 AI 的表现，调整自主性边界低效流程（要避免）
✗ 不看报告直接批 → 出事担责
✗ 不管置信度都重做 → 浪费 AI 价值
✗ 否决 AI 但不留反馈 → AI 不会进步
✗ 全权信任不复核 → 自动化失控五、保留人工能力，不当 "AI 工具人"
AI 协作的最大风险是：你逐渐丧失了独立调查的能力。一旦哪天 AI 平台宕机、出现新型攻击 AI 没见过，你束手无策。
三个能力底线
底层日志读取能力 不依赖 AI，自己能读 Windows 事件日志、Linux auth.log、防火墙日志、DNS 日志。 见 日志分析基础。
SIEM 查询能力 不依赖 AI，自己能写 Splunk SPL / KQL / XQL 查询。
攻击链推理能力 看到 IOC 能推断 TTP，了解 ATT&CK 框架的关键技术点。
每周保留至少一次"裸调查"
哪怕公司全员上了 AI 原生平台，建议每周至少一次完全不用 AI、自己手动调查一条告警。 这是保持手感的关键 —— 就像飞行员定期手动飞行一样。
六、和 AI Agent 一起做的事，AI 帮不上的事
| AI Agent 擅长 | AI Agent 困难 |
|---|---|
| 重复性 Tier 1 告警分诊 | 长期潜伏的 APT 行为关联 |
| 已知模式的告警调查 | 全新攻击模式的判定 |
| 跨工具联邦化查询 | 涉及业务上下文的判断 |
| 结构化证据收集 | 跨部门沟通和协调 |
| 24×7 不间断值守 | 监管 / 法律层面的决策 |
| 海量低危告警的快速处理 | 政治敏感的事件汇报 |
| 标准化响应执行 | 创造性的攻防对抗 |
记住：AI 是放大器不是替代品 —— 它放大你的处理能力，但代替不了你的判断力。
七、给新人的练习建议
练习 1：报告审稿
找到 10 份 AI 调查报告（可以是 Dropzone / Cortex AgentiX / Charlotte 的样例），按上面的"五个审稿问题"做一遍审稿，写下你的判断与 AI 判断的差异。
练习 2：误报标注
找一批历史误报，模拟向 AI 写纠偏指令。对比写之前和之后，看 AI 的判定准确率提升多少。
练习 3：盲调查 vs AI 调查
挑一条 AI 已经调查过的告警，先遮住 AI 报告，自己独立调查一遍，最后对照 AI 的结论。看自己漏掉了什么、AI 漏掉了什么。
练习 4：故意"为难"AI
设计一些对抗性场景测试 AI：
- 把恶意 IP 嵌入正常业务流量里
- 用合法账号在异常时段做异常操作
- 模仿已知的 APT TTP 但稍作变形
观察 AI 在哪些情况下会失败，建立你对 AI 边界的直觉。
一句话总结
AI 是新一代的同事，不是新一代的工具。学会读它的报告、纠它的判断、保留你的判断力 —— 这才是第三代 SOC 分析师的核心竞争力。
下一步
- SOC 范式迁移 —— 理解为什么需要这项技能
- AI 原生 SOC 平台 —— 具体的 AI Agent 产品
- Cortex 大平台 —— 大平台型 AI Agent 的实践
- 日志分析基础 —— 保留的"裸调查"能力
- 告警分诊与响应 —— 协作流程的上游