一句话结论 · 独立智能体应用
圣一 Agentic SOC 是独立于 SIEM 的外置 AI 研判大脑，Triage Agent 前置降噪后由多智能体 24×7 研判，适配 Splunk / ELK，不替换现有安全底座。
从仪表盘、告警中心到 HITL 审核，六项能力均可对照产品界面阅读
一屏掌握 SOC 运营全貌：今日告警量、处理进度、平均研判时间与 Agent 成功率等核心 KPI 实时可视，判定分布直观呈现 MEDIUM RISK、NEEDS_REVIEW、TRUE_POSITIVE、CRITICAL BREACH 等研判结果。
四项 KPI
判定分布
主导航
告警中心集中展示实时告警列表，支持按状态、告警名称、用户、来源 IP、优先级、判定与时间多维筛选，HITL PENDING、CRITICAL BREACH 等状态一目了然。
筛选维度
列表字段
可见状态
告警详情页左侧展示 Agent 推理时间线：Supervisor 调度、Investigator 调查、多轮 LLM 对话与 unified_log_query 等工具调用全过程透明可追溯；右侧自动生成结构化安全调查报告。
左栏
Agent 推理时间线：Supervisor 调度 → Investigator 调查，可展开 LLM 对话与 unified_log_query 工具调用
右栏
示意场景
告警「员工外发文件」类事件，判定标签可见 CRITICAL BREACH
调查画布以关系图谱呈现告警实体关联：用户、文件、进程、外发路径之间的 accessed_by、操作文件、外发至 等关系清晰可视，支持交互式探索与溯源。
实体类型
关系边
协同操作
Playbook 编辑器支持无代码编排调查流程：告警触发 → AI 分析阶段 → HITL 审批 → 结案，以「文件外发调查」等场景化剧本为例，灵活配置各阶段目标与 Agent 角色。
编排流程
告警触发 → AI 分析阶段 → HITL 审批 → 结束（示意剧本：文件外发调查）
节点类型
可勾选工具
HITL 待审队列集中管理需人工确认的高风险告警，展示员工外发文件等 CRITICAL 级别事件，附带 CRITICAL BREACH、NEEDS_REVIEW、TRUE_POSITIVE 等置信度评分。
队列
HITL 待审队列，按 CRITICAL 等优先级列出待人工确认告警
判定标签
人工动作
关于 Agentic SOC 的定义、与 SIEM 关系、Splunk/ELK 适配及 HITL 风控的简要说明
圣一 Agentic SOC 是独立于 SIEM 的外置 AI 研判大脑，Triage Agent 前置降噪后由多智能体 24×7 研判，适配 Splunk / ELK，不替换现有安全底座。 独立于 Splunk / ELK 运行，适配器对接现有日志底座，避免厂商锁定；Triage Agent 前置过滤误报，高危告警可 Critical Bypass 直派；HITL 待审队列保证高风险结论必须人工确认，再进入处置。
Agentic SOC 独立于 SIEM 运行，不替换现有安全底座；通过适配器对接 Splunk 与 ELK 等日志平台，在不影响现有基础设施的前提下提供 AI 研判能力。
适合。Agentic SOC 以适配器模式对接 Splunk 与 ELK，统一翻译为底层 SPL / Lucene 查询，避免与单一厂商底座强绑定。
关键定性决策和处置动作强制走 HITL 待审队列，分析师查看完整调查报告后批准或拒绝 Agent 结论，高危告警也可 Critical Bypass 直派。
