记忆功能用于向安全运营智能体补充企业特有的业务背景、实体属性、风险判断依据和处置经验。AI 在实体画像、风险研判或风险处置场景中，可根据事件上下文召回相关记忆，减少重复补充背景，并提升研判与处置的一致性。

注意

记忆不是强制命中的确定性规则。如果需要通过明确字段条件对告警进行前置过滤，应使用规则型知识。

## 记忆来源与生命周期记忆可以通过三种方式生成： * 用户在关单、纠正 AI 处置方案或补充上下文时产生的**用户反馈**； * 用户在**记忆**页面主动提交的**手动录入**； * 系统从历史相似告警中捕捉重复信号后生成的**AI 自动学习**。 AI 自动学习主要聚焦两类可复用信号： * **压制重复无害告警**：从大量相似、已确认无害的告警中提炼稳定特征，减少同类告警反复干扰运营人员。 * **校准不一致的研判结果**：比较长期出现的相似告警，识别研判结论不一致的原因，并将稳定的区分特征沉淀为记忆。系统生成的是简明的告警特征和判断依据，不是完整的处置 SOP。具体学习周期、样本筛选和信号确认由系统策略控制，无需用户配置。 |阶段 |说明 | |---|---| |候选记忆 |已生成但尚未上线的记忆，可能处于检测中、待审核或存在冲突状态。 | |正式记忆 |已通过校验或审核的记忆。启用后可被 AI 召回；未启用时保留在列表中，但不会被 AI 调用。 | |已归档记忆库的记忆 |* 归档库用于保存被替换、被驳回或手动下线的记忆。

* 归档为终态，不可恢复，不再参与研判与处置。

* 如需重新沉淀，应在记忆列表重新录入新记忆。归档原因由系统自动标记，可在变更历史中查询。 | ## 记忆生成流程不论何种来源，新记忆都会先进入候选队列并执行全局冲突检测。完整链路如下： ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/5bab8273c6f149fda28cc5060af39ece~tplv-goo7wpa0wc-topic.webp) ## 记忆适用内容与边界开始前，请确认记忆内容经过人工验证，对后续事件仍有参考价值，并且已明确记忆用于实体画像、风险研判还是风险处置，以及对所有对象生效还是仅对指定实体生效。 |对比项 |记忆 |规则型知识 | |---|---|---| |主要内容 |业务背景、实体信息、研判依据、处置经验 |可结构化表达的黑、白特征 | |常见表达 |自然语言 |字段 + 运算符 + 值 | |生效阶段 |实体画像、风险研判、风险处置 |告警前置过滤 | |作用方式 |AI 根据上下文召回并参考 |命中条件后按预设规则参与告警过滤 | |适用范围 |全局或绑定指定实体 |由知识条件限定 | **✅以下内容适合保存为记忆：** * 某个 IP 是内部扫描器 * 某个账号是自动化发布账号 * 某类告警需要结合变更记录判断 * 确认攻击后应先隔离主机并通知负责人 ❌**以下内容不应直接保存为记忆：** * 只对当前事件有效的调查过程或临时结论 * 未经验证的猜测 * 密码和访问令牌等敏感凭据 * 缺少对象和适用边界的宽泛结论 * 可由确定字段条件表达的黑白名单规则 ## 查看记忆 1. 登录安全运营智能体控制台。 2. 在页面左侧导航栏选择**记忆**。 3. 查看页面顶部的概览信息。 |指标 |说明 | |---|---| |已归档记忆库 |顶部提示条中的入口，用于查看已下线或审核不通过的记忆。归档记忆不再参与研判与处置，且不可恢复 | |正式记忆 |当前正式记忆的数量，包括已启用和未启用的记忆。只有已启用的正式记忆会被 AI 召回。页面可同时展示近期新增数量。 | |累计生效次数 |已启用记忆被 AI 实际用于研判或处置的累计次数。页面可同时展示本月生效次数。

注意

通过调用次数可以判断记忆是否被使用，但调用次数高不代表内容一定准确。应结合实际事件抽查调用效果。

| ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/f75adbe42577414c92b0bdc5fbf27476~tplv-goo7wpa0wc-topic.webp) 4. 查看**正式记忆**、**候选记忆**和**全部**页签。候选记忆页签出现小红点时，表示存在待审核或需要处理冲突的候选记忆。常见页签和状态说明如下： |页面或状态 |说明 | |---|---| |正式记忆 |已通过审核或校验的记忆。可查看、编辑或下线，其中已启用的正式记忆可被 AI 召回。 | |候选记忆 |已录入或生成，但仍在检测、待审核或存在冲突的记忆。

* 检测中：系统正在调用大模型进行查重与冲突检测。

* 待审核：候选记忆存在命中冲突或属于需要人工确认的全局记忆，需要用户处理。

* 无冲突：当前记忆未检测到冲突。绑定实体记忆可自动上线，全局记忆仍需人工确认。 | |全部 |汇总展示正式记忆和候选记忆，便于按录入方式、实体类型或审核状态统一检索。 | 5. 在记忆列表中单击**查看**，可以打开记忆详情。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/5f5c7f33395449398f2c7bda9582e36f~tplv-goo7wpa0wc-topic.webp) 详情页顶部展示记忆标题、完整内容和关键标签，例如作用范围、启用状态、召回次数和使用次数。召回表示记忆与事件上下文匹配，使用表示 AI 实际引用该记忆参与研判或处置。详情页包含以下页签： |页签 |说明 | |---|---| |基本信息 |查看记忆名称、记忆场景、录入方式、适用场景、记忆内容、作用范围和绑定实体等信息。

说明

如果候选记忆存在冲突，详情页会在基本信息区域展示冲突提示和冲突记忆列表。

| |触发历史 |查看该记忆在历史事件中的召回和使用情况，用于判断记忆是否被正确调用。 | |变更历史 |查看记忆创建、编辑、审核、启用、停用或归档等变更记录。 | ## 处理候选记忆和冲突建议定期处理候选记忆和待审核提醒，避免有效经验停留在候选阶段。 1. 登录安全运营智能体控制台。 2. 在页面左侧导航栏选择**记忆**。 3. 进入**候选记忆**页面，查看新生成但尚未上线的记忆。候选记忆列表可按**全部**、**检测中**和**待审核**筛选。待审核且检测到冲突的候选记忆，操作列会展示**查看**、**处理冲突**和**驳回**。按以下规则处理候选记忆： |情况 |处理方式 | |---|---| |无冲突绑定实体记忆 |系统自动上线为正式记忆，用户可在正式记忆列表中查看并验证调用效果。 | |无冲突全局记忆 |需要用户手动确认后上线。确认前应核对其是否适用于所有业务线、地域、实体和时间范围。 | |单条冲突 |可采用新记忆、保留旧记忆，或编辑当前候选记忆后重新校验。未被采用或被驳回的记忆进入归档库。 | |多条冲突 |不支持直接二选一替换。你需要单击**编辑并采用本条**，将当前候选记忆编辑至无冲突后上线，或单击**驳回**将其归档。

注意

多条冲突处理不会直接修改已经上线的正式记忆。如果需要调整线上正式记忆，请在正式记忆列表中找到对应条目后单独编辑、停用或下线。

| ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/750bf1614edb443b9f1316ffa997a6a1~tplv-goo7wpa0wc-topic.webp) ## 管理正式记忆 1. 登录安全运营智能体控制台。 2. 在页面左侧导航栏选择**记忆**。 3. 在**正式记忆**列表中找到目标记忆后，根据页面提供的操作查看详情、调整启用状态、编辑或下线。 |操作 |说明 | |---|---| |停用 |记忆仍保留在正式记忆列表中，但不会被 AI 调用。适用于业务事实变化、实体用途不确定、召回效果需要重新验证等情况。 | |编辑 |修改名称、内容、使用场景或作用范围后，会重新执行冲突校验和必要审核。上线后应重新验证效果。 | |下线 |适用于正式记忆不再需要、内容已失效或不应继续参与研判与处置的情况。下线前需二次确认。 | ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/3fc5da8e2bee441090c9a7ed45d3ec71~tplv-goo7wpa0wc-topic.webp) ## 手动添加记忆 1. 登录安全运营智能体控制台。 2. 在页面左侧导航栏选择**记忆**。 3. 单击页面右上角的**添加**。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/5617892b55064ad58b17c8c43668556c~tplv-goo7wpa0wc-topic.webp) 4. 配置记忆相关参数。 1. 填写**记忆标题**。 2. 填写**记忆内容（自然语言）** 。 3. 选择一个**记忆使用场景**。 4. 选择**记忆作用范围**。选择**绑定实体**时，还需要选择**绑定实体类型**并填写**绑定实体值**。填写时按以下规则控制内容边界： |配置项 |说明 | |---|---| |记忆标题 |必填，最多 50 个字符。建议使用“对象或范围 + 关键事实或用途”，例如 `内网扫描器 172.23.**.**`，避免使用“测试”“规则 1”等无法检索的名称。 | |记忆内容（自然语言） |必填，最多 500 个字符。建议按“适用对象 + 条件或背景 + 判断或动作 + 例外”编写，避免只写结论或短期有效信息。 | |记忆使用场景 |必填，单选。可选**实体画像**、**风险研判**或**风险处置**。同一条经验同时包含多个场景时，应拆分成多条记忆。

* 实体画像：沉淀 IP、域名、Hash 等实体特征。

* 风险研判：用于风险分析、证据判断和置信度补强。

* 风险处置：用于自动化处置、拦截策略和响应建议。 | |记忆作用范围 |必填。选择**全局记忆**或**绑定实体**。无法确认全局适用时，优先选择绑定实体。

* 全局记忆：对所有对象生效，影响范围大。提交前应确认没有业务线、地域、时间或实体例外；提交后需要人工确认才能上线。

* 绑定实体：仅对指定 IP、域名、文件 Hash、告警名称、资产 ID 或账号 AK 等实体生效。提交前检查实体类型和值是否匹配，实体是否可能复用、回收或变更。 | ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/4d835b176e864732afbde1b80b36efd3~tplv-goo7wpa0wc-topic.webp) 5. 检查全部内容后单击**确定**。 6. 返回记忆列表，检查新记忆的候选状态、冲突检测结果或审核状态。 7. 记忆上线为正式记忆后，通过后续同类事件验证是否正确调用。提交后，系统会调用大模型进行查重与冲突检测，通常需要数十秒。检测期间记忆会先进入**候选记忆**页签并显示**检测中**；无冲突且非全局记忆会自动生效，命中冲突或全局记忆会转为待审核。

注意

AI 自动学习生成的记忆会根据内容关联到最相关的实体。无冲突的绑定实体记忆可自动上线；检测到冲突时进入待审核页面。

## 参考示例 |类型 |记忆内容示例 |使用场景 |作用范围 | |---|---|---|---| |实体画像记忆 |IP 172.23. **.** 是内部漏洞扫描器，仅在已审批扫描窗口内对登记资产发起扫描；超出窗口或目标范围时仍需按异常行为研判。 |实体画像 |绑定实体 / IP / 172.23. **.** | |风险研判记忆 |仅出现一次“一机多用”告警且没有登录异常、恶意进程或横向移动证据时，不应仅凭该告警判定为已攻陷，应继续核对账号和终端行为。 |风险研判 |全局记忆 | |风险处置记忆 |当 OAuth 回调地址不属于公司备案域名时，先阻断请求并转人工审核。 |风险处置 |全局记忆 | ## 如何验证效果记忆上线后，应同时验证“应当命中”和“不应命中”的场景： 1. 选择符合该记忆使用场景和作用范围的事件。 2. 查看 AI 的实体画像、研判依据或处置建议。 3. 确认 AI 是否引用正确记忆，并检查引用后是否得到预期结论或动作建议。 4. 再选择一个不符合范围的事件，确认该记忆没有被错误调用。 5. 返回记忆列表，观察对应记忆的召回和使用次数。