在行动手册中嵌入人工智能智能体

支持范围：

Google SecOps

Google Security Operations 中的智能体自动化（Agentic Automation）让你把人工智能智能体直接嵌入工作流，从而构建动态、自适应的自动化。这样，你可以把人工智能驱动的能力集成到现有行动手册中：把人工智能智能体与确定性自动化步骤结合起来，确保你仍然掌控关键动作。

确定性自动化依赖硬编码逻辑，每一步和每种结果都是固定且预先定义的。这提供了控制，但在处理新用例、管理自动化部分失败的场景，或在面对缺失信息时进行适应方面可能会吃力。智能体自动化把重点转向建立在人工智能智能体之上的工作流，这些智能体可以对这些计划外的变量进行推理。

案例概览与可见性

当智能体对告警进行分诊时，发现会出现在Gemini 调查（Gemini Investigations）侧边抽屉中，以及人工智能智能体步骤的结果中。

行动手册使用三种不同状态监控智能体的进度。这是一个异步过程；行动手册在等待智能体完成时暂停，并且不占用执行队列。

• 尚未运行（Not Run）： 智能体尚未被触发。
• 运行中（Running）： 调查正在进行，或行动手册正在轮询结果。
• 已完成（Completed）： 智能体已完成分析，结果已可供下游步骤使用。

要使用智能体自动化，你必须为租户选择启用相关的人工智能智能体。你可以在案例概览（Case Overview）内 Gemini 调查（Gemini investigation）侧边菜单的设置中管理此项。

分诊与调查智能体（Triage and Investigation agent，TIN）集成

智能体自动化支持分诊与调查智能体（Triage and Investigation Agent，TIN）。它通过收集证据并执行第一方充实，对安全告警进行自主分析。该智能体提供真阳性（True Positive）或假阳性（False Positive）判定、一个置信度分数，以及可用于驱动行动手册工作流中后续步骤的其他输出。

支持的告警类型

TIN 的调查能力取决于告警来源以及智能体如何被触发：

• 人工调查：只要告警不是来自 SOAR Connector，你就可以对任何告警人工触发 TIN 调查。
• 自动调查：默认情况下，TIN 支持对来自特定 SIEM 检测引擎日志类型的告警进行自动调查。这些来源的列表见默认支持的日志类型。
• 不支持的告警：如果不支持的告警类型触发了自动智能体步骤，你可以配置行动手册停止执行，或者跳过该步骤并继续工作流。

向行动手册添加人工智能智能体

1. 转到响应 > 行动手册（Response > Playbooks）。
2. 打开现有行动手册，或新建一个。
3. 打开步骤选择（Step Selection）面板，并找到人工智能智能体（AI Agents）类别。
4. 把列表中的一个智能体拖到画布上。
5. 点击该步骤以打开配置面板。

配置智能体步骤

在配置面板中，定义行动手册如何与人工智能智能体交互：

• 动作类型（Action type）： 设为自动（Automatic），让智能体在没有人工干预的情况下运行；或者设为手动（Manual），如果分析师必须从案例内部运行人工智能智能体（AI Agent）步骤。
• 失败时重试（Retry on failure）： 切换该步骤在智能体遇到暂时性错误时是否应尝试重新运行。这适用于智能体执行本身的失败，而不是某个特定工具的失败。
• 错误处理（Error Handling，If step fails）： 使用这些设置定义工作流，当智能体无法处理输入时（例如由于不支持的数据格式）：

• 停止行动手册（Stop the playbook）： 如果智能体无法提供结果，则停止所有动作。
• 跳到下一步（Skip to the next step）： 继续执行行动手册，绕过人工智能智能体（AI Agent）步骤。

在逻辑分支中使用智能体结果

TIN 生成结构化结果，你可以在表达式构建器（Expression Builder）中使用这些结果。这样，你可以根据智能体的判定和置信度来导航自动化流程，而不是依赖预定义的静态输入。

示例逻辑

1. 在人工智能智能体步骤之后，把流程块（条件）（Flow block (Conditional)）拖到画布上。
2. 点击该条件以打开占位符（Placeholder）菜单。
3. 找到并选择人工智能智能体（AI Agent）步骤结果。
4. 为 JSON 结果打开表达式构建器（Expression Builder），并选择你要评估的值（例如 verdict 或 confidence_level）。
5. 根据人工智能的洞察定义分支：

• 真阳性（True Positive）： 连接到处置步骤（例如 “Isolate Host” 或 “Block User”）。
• 假阳性（高置信度）（False Positive (High Confidence)）： 连接到关闭告警（Close Alert）动作，以自动减少分析师噪声。
• 假阳性（低／中置信度）（False Positive (Low/Medium Confidence)）： 连接到分析师指派或人工复核步骤，以便二次核验。

管理智能体配额

为保持行动手册性能和系统稳定性一致，请确保你的工作流停留在智能体自动化的服务限制之内。

PRIMARY_SOURCE: https://docs.cloud.google.com/chronicle/docs/soar/respond/working-with-playbooks/agentic-automation