安全调查 Agent 要在证据图上回溯，而不是在日志里自由聊天
SherAgent 的生产实践表明，SOC 调查自动化的关键不是让 LLM 直接判断告警，而是用受约束查询、语义剪枝、调查树和显式失败终态，在日志缺失与依赖爆炸之间建立可审计的 query-filter-backtracking 控制环。
Tag
#SOC
Agent 编排在网络安全里的正确位置：从告警流水线到可审计的安全工作流
Agent 编排不是让一个大模型直接接管安全运营，而是把 triage、证据收集、静态分析、威胁情报、检测工程、修复验证和人工审批组织成有状态、有权限边界、可回放的安全工作流。本文给出一套面向 SOC 与白盒扫描的工程方案。