# 告警调查结论：证据、判定与可继续的升级包

工作单元：W-C30；版本：2026-10-21.workunits.2；复核：2026-10-20
针对给定告警/队列交付可追溯的真假/待证判定、影响/优先级和升级依据，不默认改变资产状态。

## 当前用法
可委派证据聚合、排序和调查结论，先以本地真假/待证控制校准；高影响处置从调查结果另开实际授权交付。
依据：钓鱼RCT提供特定队列直接研究，NIST61r3给检测/分析与响应边界；其他告警不借钓鱼实验冒充同配置成绩。
来源状态：active
本站记录：本次核查公开资料与任务契约，未在本站运行目标任务或新增模型试次。

条件：
- 冻结日志/消息/上下文及获取权限，保存原始证据与真/假/待证参照，恶意内容只在隔离环境处理。
- 给处置代价/漏报成本、证据不足标准、升级对象与所需诊断字段；区分判定和执行。

## 请求与范围
给邮件/身份/端点等告警、资产/用户、时间窗与需回答的真实风险/优先级。
结果为调查结论与队列排序；检测规则变更另W-C29，安全事件遏制另W-C31。钓鱼RCT仅支持其问卷队列条件，其他告警为明确方法迁移。

## 输入
- 告警与问题：给邮件/身份/端点等告警、资产/用户、时间窗与需回答的真实风险/优先级。
- 证据与基线：冻结日志/消息/上下文及获取权限，保存原始证据与真/假/待证参照，恶意内容只在隔离环境处理。
- 判定与升级：给处置代价/漏报成本、证据不足标准、升级对象与所需诊断字段；区分判定和执行。

## 交付物
- 逐告警证据定位、真假/待证及影响前提
- 优先级/关联时间线、反证与误报排除
- 仍需信息、升级包和后续控制/处置的明确接口

## 验收
1. 判定由证据支持
   方法：原始消息/身份/时间线与资产交叉核对，正常负例和替代解释挑战结论。
   拒收：仅品牌词/风险标签就认恶意。
2. 未知和错误可见
   方法：用本地真/假与有意错误解释检查自动同意，保留缺日志/矛盾与查不到部分。
   拒收：Agent判良性就无条件关单。
3. 输出可接续且不冒充处置
   方法：独立接收者能重查证据和升级，结论/规则/执行状态分开记录。
   拒收：给出恶意判定便写资产已经隔离/清除。


## 具体例子
输入：可疑邮件和异常登录同时出现，但也有正常内部转发。
预期产物：逐条真假/待证、消息/身份证据、时间线和升级条件。
失败：把排序靠前等同已入侵，并声称自动清除。

## 工作重组
以前：分析师逐条查告警并在多处整理证据和升级。
现在：Agent自主关联证据、排序和构造反证，程序重放已知控制；调查结论独立于外部处置。
保留：
- 定义调查授权、风险/漏报代价和升级优先级，决定真实事件处置范围。
新增：
- 独立接收者能重查证据和升级，结论/规则/执行状态分开记录。

## 人的责任与失败接管
定义调查授权、风险/漏报代价和升级优先级，决定真实事件处置范围。
缺证据输出待证及具体请求，不用恶意内容授予工具权限，不越过调查范围执行隔离。

## 尚待补足
- 用本地脱敏真假/待证告警盲测，核对逐条证据、漏报/误报与确认时间，再决定优先级和复核范围。

## 职业与团队下一步
安全告警调查
逐告警证据定位、真假/待证及影响前提
用本地脱敏真假/待证告警盲测，核对逐条证据、漏报/误报与确认时间，再决定优先级和复核范围。
/explore?purpose=career&domain=computing
钓鱼RCT提供特定队列直接研究，NIST61r3给检测/分析与响应边界；其他告警不借钓鱼实验冒充同配置成绩。
Agent自主关联证据、排序和构造反证，程序重放已知控制；调查结论独立于外部处置。
用本地脱敏真假/待证告警盲测，核对逐条证据、漏报/误报与确认时间，再决定优先级和复核范围。
/explore?purpose=team&domain=computing

## 证据与关系
- Phishing Triage Agent 随机对照试验：https://arxiv.org/abs/2511.13860v1
  定位：Abstract；RCT treatment and outcomes；公开 2025-11-17；核查 2026-10-20；复查 2027-01-20
  支持：直接邮件研判研究，保留实际载体与干预身份。
  未覆盖：原语料零FP/FN后注入合成判定错误，跳过良性协议为反事实；不能推断真实误报分布或无人遏制。
- NIST SP800-61r3：https://csrc.nist.gov/pubs/sp/800/61/r3/final
  定位：Table2 ID.RA-01/03/04/05；Table3 检测、分析、处置与恢复；公开 2025-04；核查 2026-10-20；复查 2027-01-20
  支持：专业方法支持调查结果分界。
  未覆盖：非邮件任务没有由RCT直接证明的AI表现。


## 任务级判断与证据
采用方式：分阶段接收
从证据到建议：钓鱼RCT提供特定队列直接研究，NIST61r3给检测/分析与响应边界；其他告警不借钓鱼实验冒充同配置成绩。
当前可用性：mixed；商业钓鱼工具受许可/角色/容量约束；本包没有进入租户。其他告警需目标日志/调查接口。
- Phishing Triage Agent：https://learn.microsoft.com/en-us/defender-xdr/phishing-triage-agent
  2026-10-20核查文档；租户实际部署版本需记录；需相应Microsoft安全产品权限/许可与SCU容量

### 钓鱼RCT在标准化材料/问卷中的邮件队列比较排序和解释对专业分析师的影响，并另作resolve-benign反事实；不是持续生产邮箱无人处置。
依据身份：外部报告结果；状态：active
- Phishing Triage Agent 随机对照试验：https://arxiv.org/abs/2511.13860v1
  定位：v1 §1—§3 methodology/behavior/counterfactuals；关系：partial
  支持：直接邮件研判研究，保留实际载体与干预身份。
  限制：原语料零FP/FN后注入合成判定错误，跳过良性协议为反事实；不能推断真实误报分布或无人遏制。
  核查：2026-10-20；来源状态：active
配置：v1 §2：招募167名专业分析师，13低分回答被剔除；93封原语料中抽25邮件队列，在Qualtrics以标准化只读材料判定。Control52随机无AI、Aware56优先队列+判定/解释、Blind59同排序但不告知AI；原语料Agent零FP/FN，另造判定/解释错误，每队列1SFP+1SFN。resolve-benign为由任务结果组合的反事实分析。
适用限制：原语料零FP/FN后注入合成判定错误，跳过良性协议为反事实；不能推断真实误报分布或无人遏制。
相关进展（本条判断）：
- 钓鱼队列随机试验报告人加Agent研判改善：/explore?purpose=understand&domain=computing&window=all#P-C-PHISH-RCT
  首次公开 2025-11-17

### 可用NIST61r3的检测/分析与证据要求组织其他告警调查，以独立证据和待证/升级条件接收。
依据身份：有条件的编辑推断；状态：active
- NIST SP800-61r3：https://csrc.nist.gov/pubs/sp/800/61/r3/final
  定位：Table3 detection/analysis；关系：partial
  支持：专业方法支持调查结果分界。
  限制：非邮件任务没有由RCT直接证明的AI表现。
  核查：2026-10-20；来源状态：active
适用限制：非邮件任务没有由RCT直接证明的AI表现。

## 情境变化
### 钓鱼队列
输入变化：邮件/URL/附件材料与本地真假基率。
判断变化：按本地错误控制校准，不照搬问卷反事实收益。
验收变化：真实/合成错误解释、恶意/良性/待证、排序和确认成本。
### 身份端点及关联告警
输入变化：结果是跨来源调查结论，非邮件分类。
判断变化：NIST方法迁移，先给可证伪证据链；不继承钓鱼成绩。
验收变化：时间/身份/资产对应、替代解释、缺日志与升级包。

研究前沿：邮件材料/问卷的排序与解释效应已有试验；原语料无自然FP/FN、合成错误和反事实协议限制迁移，不能证明实际邮箱长期无人研判。
下一项验证：用本地脱敏真假/待证告警盲测，核对逐条证据、漏报/误报与确认时间，再决定优先级和复核范围。
未来改判信号：
- 新队列基率/对抗条件下证据与误报漏报仍可控，可扩大辅助研判。
- 合成控制或真实错误被盲目附和、证据不足仍关单时收窄范围。

## 与本单元直接关联的进展
### 钓鱼队列随机试验报告人加Agent研判改善
公开 2025-11-17
研究报告队列优先级/解释改变分析师注意力与研判表现。
支持范围：167招募、标准化只读材料/Qualtrics，25封队列源自93语料；有合成错误与反事实，非生产长期无人响应。
来源状态：active
/explore?purpose=understand&domain=computing&window=all&kind=all#P-C-PHISH-RCT

领域背景与未来情景：/explore?purpose=understand&domain=computing


## 工具与采用佐证