安全运营智能体
安全运营智能体
文档指南
请输入
- 文档首页
安全运营智能体进阶使用使用自动化策略提高处置效率
复制全文
下载 pdf使用自动化策略提高处置效率
文档反馈
问问助手自动化模块用于将已经验证、可重复执行的事件处置流程交给 AI 调用。一个完整的自动化链路由剧本和自动化策略组成：
- 剧本定义“执行什么动作”，以工作流形式编排具体处置步骤。
- 自动化策略定义“什么情况下执行”，将事件条件与指定剧本关联起来。
请严格按照“先创建并验证剧本，再创建和启用策略”的顺序进行配置。策略只能关联已经存在的剧本；如果剧本本身不可用，即使策略成功命中，也无法完成预期处置。
自动化页面包含两个页签：
- 自动化策略：用于定义 AI 自动驾驶的边界，说明在什么场景下由 AI 调用哪个剧本，以及是否允许自动执行。
- 剧本：用于管理可被策略调用的工作流。剧本可以编排代码执行、HTTP 请求、条件分支、模板转换、智能体调用等节点，也可以对接外部处置接口。
使用场景
自动化适合处理规则稳定、动作明确、重复频率较高的运营场景，例如：
- 将 AI 明确判断为无需关注的低风险事件自动闭环。
- 对满足指定风险条件的事件调用溯源 Agent。
- 调用外部系统完成封禁、隔离、通知或工单流转。
- 更新事件状态，并记录自动化执行结果。
对于影响范围较大、处置动作不可逆或判断条件尚未经过充分验证的场景，应保留人工确认，不要直接开启自动执行。
前提条件
开始配置前，请确认：
- 当前账号具有自动化模块的查看和配置权限。
- 已明确需要自动化的事件场景、判断条件、处置动作和预期结果。
- 已通过人工处置验证业务规则，确认该流程适合重复执行。
- 已准备符合平台要求的工作流 DSL 内容。
- 如需调用外部接口，已确认接口地址、鉴权方式、请求参数、成功条件和异常处理方式。
配置流程
建议按以下顺序完成配置：
- 进入自动化 > 剧本，创建执行处置动作的工作流。
- 检查剧本名称、版本和 DSL 内容，确认剧本能够完成预期动作。
- 进入自动化 > 自动化策略，创建策略并关联该剧本。
- 设置允许 AI 自动执行的限制场景。
- 保存策略，并先在有限范围内验证策略命中和剧本执行结果。
- 确认运行稳定后，再逐步扩大自动执行范围。
步骤一 创建自动化剧本
进入剧本列表
- 登录安全运营智能体控制台。
- 在左侧导航栏选择自动化。
- 进入剧本页签。
-
- 剧本列表以卡片形式展示工作流。卡片中可以查看剧本名称、版本、类型、创建时间、编辑时间和 DSL 内容摘要。
新建工作流
- 在剧本页签单击右上角的新建工作流。
- 在新建工作流页面填写基本信息。
-
-
-
- 检查名称、版本和 DSL 内容。
- 单击确定完成创建。
- 返回剧本列表，确认新建剧本已经显示，且名称、版本和 DSL 内容摘要正确。
说明
新建工作流时，如果已经有可复用的 DSL，可以直接粘贴到 DSL 内容编辑区。如无可用 DSL，可以先创建工作流，然后单击工作流卡片进入工作流详情，在画布中检查节点编排、连线关系和输出字段。
编写 DSL 的注意事项
DSL 是剧本的实际执行定义。创建前应重点检查：
- 工作流需要的输入参数是否与事件数据中可提供的字段一致。
- 各节点的执行顺序和依赖关系是否正确。
- 外部接口的请求参数、鉴权信息和成功条件是否完整。
- 接口超时、返回异常或节点执行失败时，是否有明确的失败处理方式。
- 高风险动作是否具备必要的幂等、回滚或人工兜底机制。
- DSL 中是否包含明文密码、令牌或密钥。
查看和编辑工作流详情
单击剧本卡片后，可以进入工作流详情页。详情页以画布展示节点和连线，顶部提供保存、环境变量、测试执行、刷新和更多操作入口。
每个工作流都必须包含一个 Start 节点和一个 End 节点：
- Start 节点是工作流入口，用于接收策略、人工测试或其他调用方传入的事件上下文和参数。
- End 节点是工作流出口，用于汇总并返回工作流执行结果。End 节点可以引用前序节点的输出字段，例如代码执行结果、工作目录或平台信息。
除 Start 和 End 外，可以根据处置逻辑增加其他节点。常见节点包括：
节点类型 | 用途 |
用户输入 | 在人工触发或测试场景中收集必要输入，适合需要人工补充参数的流程。 |
输出 | 输出中间结果或最终信息，便于调试、记录和后续节点引用。 |
代码执行 | 执行脚本逻辑，适合字段转换、数据清洗、复杂判断或调用平台能力。 |
HTTP 请求 | 调用外部接口，例如封禁、隔离、工单、通知或情报查询接口。 |
条件分支 | 根据节点输出或输入参数走不同路径，适合成功/失败分支、风险等级分流和兜底逻辑。 |
模板转换 | 将输入数据按模板转换为接口参数、通知内容或结构化输出。 |
迭代 | 对列表数据逐项处理，适合批量封禁、批量查询或批量通知。 |
智能体调用 | 调用指定智能体完成研判、补充分析或生成处置建议。 |
编辑工作流时，应保证连线从 Start 出发并最终汇入 End。新增节点后，需要检查节点输入是否完整、输出字段是否被正确引用，以及异常路径是否会进入可控的结束状态。
验证剧本
创建策略前，应先确认剧本本身可用。建议使用测试事件或低风险对象进行验证，并至少检查：
- 剧本能够接收到所需输入参数。
- 正常路径中的所有节点均按预期执行。
- 外部系统收到的请求对象和参数正确。
- 执行结果能够正确返回并被平台记录。
- 节点失败时不会误执行后续高风险动作。
- 重复执行不会产生超出预期的副作用。
剧本尚未完成验证，或正常路径、失败路径中仍存在问题时，不要创建自动执行策略。
步骤二 创建自动化策略
剧本创建并验证完成后，可以通过自动化策略定义其适用场景和执行方式。
进入策略列表
- 在自动化页面进入自动化策略页签。
- 查看页面中的预设自动化场景和可配置策略。
策略卡片会展示策略名称、描述、适用条件、关联剧本和当前启用状态。其中：
- 预设自动化场景由系统提供，用于平台内置的常见运营流程。
- 可配置策略由用户根据业务需要创建和维护。
- 系统级标识表示该策略为平台预设策略，通常用于溯源、事件闭环或常见封禁等标准流程。
- 常驻开启表示策略默认处于启用状态。是否允许直接自动执行，还需要结合策略中的限制场景和自动执行开关判断。
- 卡片中的条件表示允许自动执行的限制场景。
- 卡片中的剧本名称表示策略命中后调用的工作流。
预设自动化场景常用于快速启用平台推荐链路，例如调用溯源 Agent、将无需关注的安全事件自动闭环、对命中 IOC 且置信度较高的对象调用封禁剧本。用户配置的自动化适合承载本企业自定义规则和外部系统接口。两类策略都应关注限制场景是否足够明确，避免让 AI 在边界不清晰的事件上直接执行高风险动作。
新建策略
- 在自动化策略页签单击右上角的新建策略。
- 在新建自动化策略页面填写以下内容。
-
-
-
注意
如果关闭允许 AI 自动执行剧本，策略仍可作为 AI 推荐或人工确认的依据使用，但命中限制场景后不会直接执行关联工作流。建议在首次配置、剧本刚变更、外部接口刚接入或限制条件尚未充分验证时先关闭该开关。
配置限制场景
限制场景用于约束 AI 自动执行剧本的范围。每个条件由以下部分组成：
单击添加限制场景可以继续增加条件。多个限制场景之间采用 AND 关系，即事件必须同时满足所有条件，才会进入自动执行链路。
例如，将置信度设置为 75 至 100，并增加“AI 原始结论为无需关注”条件后，只有同时满足这两个条件的事件才允许自动调用关联剧本。任一条件不满足时，事件不会按该策略自动执行，应转由人工确认或进入其他适用流程。
配置限制场景时，应遵循以下原则：
- 首次启用时使用严格条件，优先覆盖结论明确、影响较小的事件。
- 同一限制项的值域应清晰且无歧义。
- 避免配置相互冲突或永远无法同时满足的条件。
- 涉及封禁、隔离等高风险动作时，应增加风险等级、实体范围或其他必要限制。
- 不要仅依赖单一宽泛条件开启高风险自动处置。
保存并启用策略
- 核对策略名称、描述和关联剧本。
- 检查自动执行开关是否符合当前验证阶段。
- 检查所有限制场景，确认条件之间的 AND 关系符合预期。
- 单击确定完成创建；如需放弃本次操作，单击取消。
- 返回策略列表，确认新策略显示在可配置策略区域。
- 使用策略卡片右侧的开关启用策略。
建议先采用以下渐进方式上线：
- 先保留人工确认，观察 AI 推荐的执行对象、参数和关联剧本是否正确。
- 使用多个同类事件验证策略是否存在未命中或误命中。
- 确认剧本执行稳定后，再开启允许 AI 自动执行剧本。
- 先在严格条件和有限对象范围内运行。
- 持续复核结果，确认准确性满足要求后再逐步扩大范围。
配置示例：自动闭环无需关注事件
以下示例用于说明配置链路，实际字段和值应以业务规则和页面选项为准。
创建剧本
- 进入自动化 > 剧本。
- 新建工作流，名称设置为“关闭无需关注事件”，版本设置为 1.0。
- 在 DSL 中定义接收事件信息、更新事件状态和记录执行结果等步骤。
- 使用测试事件验证工作流，确认只会处理目标事件，并能正确返回执行结果。
创建策略
- 进入自动化 > 自动化策略，单击新建策略。
- 策略名称设置为“高置信度无需关注事件自动闭环”。
- 关联工作流选择“关闭无需关注事件”。
- 添加限制场景：
- 置信度位于业务确认的高可信区间。
- AI 原始结论为“无需关注”。
- 首次创建时保留人工确认，观察多个同类事件。
- 确认策略命中准确、剧本执行稳定后，再开启自动执行。
管理自动化策略
编辑策略
在目标策略卡片中单击编辑，可以调整策略描述、关联剧本、自动执行方式或限制场景。
修改关联剧本或放宽限制条件可能直接扩大自动处置范围。重要变更应先关闭策略，完成验证后再重新启用。
启用或停用策略
通过策略卡片右侧的开关控制策略状态：
- 开启开关后，策略开始参与事件匹配。
- 关闭开关后，策略不再对后续事件生效。
如果发现策略误命中、剧本执行异常或外部系统不可用，应立即停用策略，避免问题继续扩大。
删除策略
- 确认策略已经停用，且不再用于当前业务流程。
- 在目标策略卡片中单击删除。
- 按页面提示完成确认。
删除策略不会替代对关联剧本的检查。如果剧本也不再使用，应先确认其没有被其他策略关联，再进行后续管理。
验证自动化效果
策略启用后，应持续检查：
- 符合条件的事件是否正确命中策略。
- 不符合条件的事件是否保持人工确认，而没有被自动处置。
- 策略调用的剧本、执行对象和参数是否正确。
- 剧本执行成功后，事件状态和外部系统状态是否一致。
- 剧本执行失败时，是否保留了可排查的结果，且事件没有被错误闭环。
建议定期抽查已经自动闭环的事件。发现错误结论或误处置时，应先停用策略，再根据原因调整事件研判依据、限制场景或剧本逻辑。
常见问题
创建策略时找不到目标剧本
请检查：
- 剧本是否已经创建成功。
- 当前账号是否有权查看该剧本。
- 剧本名称是否与预期一致。
- 页面数据是否需要刷新。
策略未命中
- 策略是否已经启用。
- 事件是否同时满足全部限制场景。
- 限制项、操作符和值的数据类型是否匹配。
- 范围条件的起始值和结束值是否正确。
- 事件实际字段值是否为空或与预期格式不同。
策略命中后没有自动执行
请检查：
- 是否开启了允许 AI 自动执行剧本。
- 当前事件是否命中允许自动执行的限制场景。
- 关联剧本是否可用。
- 剧本所需输入参数是否完整。
策略出现误命中
应立即停用策略，并检查限制条件是否过于宽泛。可以增加置信度、AI 结论、风险等级、实体范围或其他业务条件，缩小自动执行边界。调整后先恢复人工确认，重新验证稳定性。
最近更新时间：2026.09.23 18:41:30
这个页面对您有帮助吗？
有用
有用
无用
无用