文档中心

安全运营智能体

进阶使用

使用知识进行告警前置过滤

安全运营智能体知识是一项旨在将高级安全运营专家经验进行结构化、产品化的核心能力。它通过规则型知识将明确的黑、白特征沉淀为告警前置过滤依据。未完成升级的存量账号还可以通过“知识提取 Agent”从安全事件调查记录中解析可复用的知识模式，或通过导入历史告警案例进行学习。

知识教练致力于解决安全运营中告警研判耗时、专家经验难以传承、同类告警重复分析等难题，最终实现对海量告警的自动化、智能化预处理，显著提升运营效率与准确性，并将专家智慧转化为可持续迭代的系统能力。

知识类型

知识库管理是知识教练功能的核心界面，用于集中查看、管理和扩充智能体所需的知识。当前主要入口为企业知识管理；未完成升级的存量账号还可能展示历史告警案例。

企业知识管理：集中展示和管理手动录入的规则型知识；未完成升级的存量账号还可能展示通过 AI 学习生成的推理型知识。

历史告警案例：仅未完成升级的存量账号可见，用于上传和管理过往的告警处置案例，供 AI 从中学习研判逻辑。

注意

推理型知识和历史告警案例正在逐步下线，仅适用于未完成升级的存量账号。已完成升级的账号和新开通账号不再展示推理型知识和历史告警案例，相关经验沉淀场景请使用记忆功能和工作台处置反馈能力。使用知识功能时，请以控制台实际展示为准。

企业知识管理

在企业知识管理标签页下，知识被分为规则型知识和推理型知识两类，以满足不同场景下的自动化研判需求。页面顶部的统计卡片提供了对知识库应用效果的宏观洞察。

规则型知识

规则型知识是经过验证的、可信度高的知识，起到类似黑白名单的强规则验证作用。它们可以直接对告警定性，分为两类：

确信规则（黑特征）：高置信度的攻击特征，一旦命中，可直接将告警定性为攻击，如“已攻陷”。

免检规则（白特征）：明确的良性行为特征，一旦命中，可直接将告警关闭或标记为“误报”。

页面顶部的四张卡片动态展示了知识库的核心价值与运行状态：

AI 自主学习：统计选定时间内，AI 智能体基于历史告警研判数据，自动提炼并生成的知识条目总量。体现了系统自我演进与沉淀专家经验的能力。

知识预处理率：指无需调用大模型进行复杂推理，仅通过“知识匹配”（如黑白名单、确定性规则）直接得出确信结论的告警比例。该比例越高，代表系统运行越高效，且模型算力成本越低。该指标用于衡量知识库在告警研判第一阶段的过滤效果。

节省工时估算：根据知识命中的告警数量和人工处理基准耗时估算节省的运营时间，用于量化知识库带来的效率提升。

知识命中率：反映知识库在实战中的活跃程度。指在选定时间内，被 AI 研判引用过的知识条目占总库存的比例。命中率越高，说明知识库越贴合当前业务场景。

推理型知识

推理型知识主要来源于人工处理告警或与 AI 对话时，通过“知识反馈”功能主动贡献的专家经验。这类知识代表了潜在的、待验证的规则模式，是知识库进化的重要来源。

历史告警案例

在“历史告警案例”标签页下，你可以上传并管理历史安全告警处置案例文件，让 AI 从真实的处置过程里归纳研判模式，并在后续告警处理中自动对照历史经验，提升研判效率与准确性。

上传历史安全告警处置案例文件，供模型学习参考。上传完成并标记好“告警处置结论”字段后，模型可以在处理新的告警时自动比对历史相似的告警结论，有助于提升 AI 处理完成率与 AI 研判准确率。

知识扩充方法

知识教练提供以下扩充方式：手动添加规则型知识；未完成升级的存量账号还可以使用 AI 自主学习、知识反馈和历史告警导入。其中，AI 自主学习是自动化过程，知识反馈是人工确认 AI 研判结果的操作，历史告警导入用于批量沉淀经验。

添加知识

当发现新的、可复用的研判逻辑时，你可以通过手动方式将其添加为规则型知识。系统支持手动添加单条知识或者批量导入知识。

手动添加模式

登录安全运营智能体控制台。

在页面左侧导航栏，选择知识。

在企业知识管理页签下，选择规则型知识。

单击添加知识 > 手动添加。

选择条件表达式或者自然语言解析，并填写对应信息。

条件表达式
自然语言解析
此模式适用于逻辑清晰、可被结构化的规则。
知识标题：用于快速识别规则用途。
知识标签：黑特征或白特征。
知识内容：通过“字段 + 运算符 + 值”的方式构建条件。
若规则包含多个条件，可点击添加按钮，继续构建 AND 或 OR 逻辑。
此模式适用于更复杂的、难以直接用表达式描述的场景，可借助 AI 的理解能力进行解析。
知识标题：用于快速识别规则用途。
知识标签：黑特征或白特征。
知识内容：用自然语句描述规则。

确认无误后单击保存。

批量导入模式

登录安全运营智能体控制台。

在页面左侧导航栏，选择知识。

在企业知识管理页签下，选择规则型知识。

单击添加知识 > 批量导入。

填写对应信息。

知识标题：用于快速识别规则用途。

知识标签：黑特征或白特征。

知识内容：先下载知识模板，再将编辑好的文件内容上传到平台。

上传历史告警

注意

历史告警案例仅适用于未完成升级的存量账号。已完成升级的账号和新开通账号不再展示该入口。

登录安全运营智能体控制台。

在页面左侧导航栏，选择知识。

在历史告警案例页签下，单击上传历史告警。

在弹窗中，上传包含历史告警数据的 CSV 或 XLSX 文件。

注意：文件大小不能超过 100MB。

提示：为达到最佳学习效果，建议文件中包含以下字段：父进程启动命令行、进程启动命令行、PAYLOAD、HTTP 请求内容、HTTP 响应内容、PCAP。

标记文件字段。

在“告警处置结论”设置区域，你需要帮助 AI 理解文件中哪个字段代表最终的研判结论。通过“列名称 + 单元格内容 = 对应结论”的映射方式进行配置。例如，选择“处置状态”列，当单元格内容为“确认为攻击”时，映射为系统中的“已攻陷”结论。

单击确定，系统将开始异步处理文件并从中学习知识。你可以在列表页查看上传任务的状态。

最近更新时间：2026.08.28 14:13:30

这个页面对您有帮助吗？

有用

无用