分诊一个钓鱼邮件警报。你识别投递方式，确定谁收到了邮件，验证是否有人点击了链接，搜寻凭证盗窃的迹象，并在凭证被窃取时追踪横向移动。典型的响应流程涉及跨多个系统执行多个手动查询，但有了代理，这转变为输入一系列连贯的自然语言问题。但代理如何知道去哪里查找？它如何理解访问数据以回答问题的查询语法？它如何访问你的威胁情报源或工单系统以获取上下文？

答案就是工具调用。

工具是作为代理推理与您各个安全平台任务执行之间的中间层的中介结构化接口。一个工具可能简单到像 search_alerts ，具有明确的函数，接受时间范围和过滤条件；也可能像 indicator_pivot 一样复杂，在返回答案前跨系统串联多个查询。代理使用这些工具定义来正确格式化查询、发起正确的 API 调用，并访问适当的数据源。

结果是，一个强大的虚拟助手能够执行需要与数据和工具交互的日常安全分析任务，快速分诊警报、验证假设，并在大型复杂数据集中综合答案。

工具如何定义代理的实际功能

我们都使用 AI 来总结文本、识别模式或回答问题，从而加快分析。但对于代理执行分配给它们的工作，它们需要工具来访问现实世界的上下文或动态执行任务。记住，LLMs（大型语言模型）受限于其训练数据，而工具则作为打破这种孤立知识的桥梁。通过为代理提供与人类安全分析师相同的安全工具访问权限，它们可以在 SOC 中执行类似的工作，并成为我们团队的倍增器。但实践中工具是什么样子的？它们是如何定义的？让我们用一个日常用例来解释：警报调整。

每天，安全团队都会对标记高风险行为的警报进行分诊和解决。当团队处理这些警报时，他们会解释发生了什么，收集周边信息，并做出判断。当警报是噪音时，分析师会确定规则中哪个部分失效，并在 Jira 等工单系统中记录发现，以防止未来的警报。

用 AI 代理自动化这个过程会是什么样子？它需要访问检测逻辑，审查创建的警报，查询日志数据，然后提交工单。让我们通过 Panther 的 AI 助手来演示这个过程：

让我们分析一下这里发生了什么。用户询问关于调整过去三周 CloudTrail 警报的问题。代理调用工具列出该时间段的警报，发现 18 个警报，然后获取每个检测规则以了解这些警报的来源原因。一旦它获取了这些外部信息，它就会推理哪些规则需要调整，哪些规则运行正常，并生成分析报告，说明如何生成更少或更准确的警报。

这个代理显示，大多数规则似乎都是合法的管理操作，这是一个很好的观察，并创造了调整的坚实候选者。其中一条具体的反馈是识别出一个冗余规则，该规则导致了重复警报并增加了团队的工作量：

Tool Definitions  工具定义

工具用于完成特定任务，并包含描述，说明何时使用以及预期输出。这些工具的组合，每个工具都有明确的边界和用途，共同构成了一个在您的安全团队中执行特定角色的代理。工具通过名称、描述和一组参数来定义：

这些工具随后被加载到代理的系统提示中，一旦代理决定使用某个工具，它就会传递参数以获取正确的输出。例如，当分析师问“显示昨天的所有高警报”时，代理会解析该请求，识别出 list_alerts 是合适的工具，并构建一个包含 severities=[”HIGH”] 和适当日期参数的函数调用。

理解代理如何决定使用哪些工具，有助于确保它们正确执行委托的任务。让我们学习如何以正确的方式影响它们的决策。

代理如何决定使用哪些工具

直接调用

第一种是直接调用，你将代理用作执行层。你可以说，“列出过去一小时内失败的登录警报”，代理就会尽职尽责地用这些精确参数调用 list_alerts 工具。你是导演；代理只是将你的自然语言翻译成正确的工具调用。

代理式调用

第二种是代理式调用，你给代理一个更高级别的目标，它根据其关于所需信息的推理来决定使用哪些工具以及顺序。你可以说，“我们需要调查权限提升警报并找到任何相关的入侵迹象。”代理使用其可用工具检查警报详情，查询用户的最近活动，将活动模式与历史基线进行比较，并检查源 IP 的威胁情报。你从调查员转变为监督者。

代理选择工具的方式取决于工具声明的清晰度、分配给它们的任务以及指令中的任何限制。当代理接收到任务时，它会检查所有可用的工具，阅读它们的描述以了解每个工具的作用，并在脑海中构建一个可能实现目标的模型。它遵循的分析师会使用的类似推理。不同之处在于，你通过经验和培训学会了调查模式，而代理则通过你的提示和示例的质量来学习这些模式。

教代理进行良好的工具编排最有效的方法是向它们展示良好调查的样子。这被称为少样本提示，在网络安全代理的背景下，它是指记录并向代理传达你如何处理一个案例。以钓鱼调查为例：“在调查钓鱼时，首先检查发件人和收件人，然后找到点击嵌入链接的任何人的日志，并创建一个警报以检测任何后续活动。”通过向代理提供这些示例工作流程，你正在教它应该延续到类似案例的调查节奏和逻辑。

工具约束：使代理专注高效

在调查警报时，你不会从过去一个月的每个系统中拉取所有日志开始。你会刻意界定范围。你提出有针对性的问题，将搜索范围缩小到相关的时间段和系统，并收集足够的背景信息以得出结论。当处理可扩展到 TB 级别、来自数十个来源的安全日志时，这种纪律性至关重要。同样的原则适用于代理，但与通过经验发展出合理范围直觉的人类分析师不同，代理需要明确的指导来高效地调查。

当代理调查缺乏适当约束时会发生什么。分析师问：“这次身份验证成功了吗？”代理看到自己拥有广泛的工具访问权限，便决定检索该用户过去一周在所有系统中的所有身份验证事件，然后检索相同系统的所有网络活动，接着检索该用户接触过的任何端点的所有进程执行日志。代理并非有意为之或粗心大意；它只是试图做到全面。但现在你等待五分钟才能得到本应只需 30 秒的结果，你正在花费代币处理兆字节的无关日志数据，而代理的工作内存被额外信息充斥，掩盖了实际答案。

根本问题在于，每次工具调用都会为代理的推理过程增加对话轮次，而更多的轮次会创造更多注意力分散和推理质量下降的机会。一个需要调用 15 次工具来回答一个简单问题的代理不仅会变慢和昂贵，还更有可能迷失在原始问题中，或在最终答案中对无关信息赋予过重的权重。目标不是阻止代理在必要时使用多个工具；而是确保每次工具调用都有明确目的，推动调查向前发展而不是偏离方向。

解决问题的关键在于理解代理的焦点来自两个方面

• 精心设计的工具定义和清晰的提示指导。如果你自己在构建工具，要使它们专门针对调查模式，而不是通用的数据访问。不要使用单一的、宽泛的 search_logs 工具，而是创建像 check_authentication_outcome 这样专注的工具，它接受用户、时间戳和源系统作为输入，并只返回成功或失败状态。具有清晰、狭窄用途的工具自然会引导代理进行高效的调查，因为代理不必就如何界定其查询范围做出复杂的决策。

• 你提供的指令和示例。要明确调查范围：“除非你发现可疑模式，否则仅检查过去一小时，”或“从认证日志开始，只有在看到横向移动的证据时才扩展到网络日志。”这就是 AI 操作手册变得至关重要的地方，它代表了从手动逐步程序到代理自主执行的编码指令的演变。传统的操作手册告诉人类要点击哪些按钮以及运行哪些查询。AI 操作手册编码了这些决策背后的推理，使代理能够根据发现的内容调整调查。

当代理有明确的指导如何高效使用工具时，你将获得更快的调查速度、更低的成本和更可靠的结论，因为代理不会在自身的数据收集中迷失。

从编写查询到利用 AI 功能

从手动执行调查转变为监督代理，意味着分析师的工作提升到了更高层次的角色。

理解工具会改变在 AI 优先的 SOC 中有效工作的含义，因为你不再端到端地执行调查；你正在设计代理使用的指导。当你编写一个 AI 剧本来编码如何调查恶意软件操作警报时，你正在创建可重用的调查逻辑，该逻辑可以处理数百个类似的案例而无需你的直接参与。

• 选择一个你经常处理的调查流程，像培训初级分析师一样记录它，并将其编码为对代理的指导。

• 明确说明使用哪些工具、何时扩展范围，以及哪些发现应触发更深入的调查。

• 测试它，根据代理的实际表现进行改进

你将很快培养出对哪些因素使代理有效、哪些因素导致代理偏离方向的直觉。掌握这项技能的分析师正在学习如何教代理有效调查，而不是仅仅自己进行调查。这就是未来重要的技能，而这一切都始于理解工具是代理能够推理的内容和它们在您的环境中实际能做什么之间的接口。

转载自https://www.detectionatscale.com/p/ai-agent-tools-soc-analyst-guide