在 playbook 中嵌入 AI 智能体

支持：

借助 Google Security Operations 中的智能体自动化功能，您可以将 AI 智能体直接嵌入到工作流中，从而构建动态、自适应的自动化流程。这样一来，您就可以将 AI 驱动的功能集成到现有剧本中，方法是将 AI 代理与确定性自动化步骤相结合，从而确保您始终掌控关键操作。

确定性自动化依赖于硬编码逻辑，其中每个步骤和结果都是固定且预定义的。虽然这种方法可以提供控制，但在处理新使用情形、管理部分自动化失败的场景或在面临信息缺失时进行调整方面可能会遇到困难。智能体自动化将重点转向基于 AI 智能体构建的工作流，这些智能体可以推理这些计划外的变量。

支持请求概览和可见性

当智能体对提醒进行分类时，发现结果会显示在 Gemini Investigations 侧边抽屉式导航栏和 AI 智能体步骤结果中。

该 playbook 使用三种不同的状态来监控代理的进度。这是一个异步过程；Playbook 在等待智能体完成时会暂停，而不会占用执行队列。

  • 未运行：代理尚未触发。

  • 正在运行：调查正在进行中，或者 playbook 正在轮询结果。

  • 已完成：智能体已完成分析，结果已准备好用于下游步骤。

如需使用智能体自动化，您必须为租户选择启用相关的 AI 智能体。您可以在支持请求概览中的 Gemini 调查侧边菜单的设置中管理此功能。

分类与调查智能体 (TIN) 集成

Agentic Automation 支持分类和调查智能体 (TIN)， 该智能体通过收集证据和执行第一方扩充来自主分析安全提醒。该代理会提供真正例或假正例判定结果、置信度得分，以及可用于推动剧本工作流中后续步骤的其他输出。

支持的提醒类型

TIN 的调查功能取决于提醒来源和代理的触发方式：

  • 手动调查：您可以针对任何提醒手动触发 TIN 调查，前提是该提醒并非来自 SOAR 连接器。
  • 自动调查：默认情况下，TIN 支持对源自特定 SIEM 检测引擎日志类型的提醒进行自动调查。如需查看这些来源的列表，请参阅默认支持的日志类型。
  • 不受支持的提醒：如果不受支持的提醒类型触发了自动代理步骤，您可以将剧本配置为停止执行或跳过该步骤并继续执行工作流。

向 playbook 添加 AI 智能体

  1. 前往响应 > Playbook。
  2. 打开现有剧本或创建新剧本。
  3. 打开步骤选择面板，然后找到 AI 智能体类别。
  4. 将代理从列表中拖到画布上。
  5. 点击相应步骤即可打开配置面板。

配置代理步骤

在配置面板中，定义 playbook 与 AI 智能体的互动方式：

  • 操作类型：设置为自动，以便智能体在无需人工干预的情况下运行；如果分析师必须从支持请求中运行 AI 智能体步骤，则设置为手动。
  • 失败时重试：切换当代理遇到暂时性错误时，该步骤是否应尝试重新运行。这适用于代理执行本身失败，而不是特定工具失败。
  • 错误处理（如果步骤失败）：如果代理无法处理输入（例如，由于数据格式不受支持），请使用这些设置来定义工作流：
    • 停止 playbook：如果代理无法提供结果，则停止所有操作。
    • 跳到下一步：继续执行 playbook，绕过 AI 智能体步骤。

在逻辑分支中使用智能体结果

TIN 会生成可在表达式生成器中使用的结构化结果。这样一来，您就可以根据智能体的判定和置信度来浏览自动化流程，而不是依赖于预定义的静态输入。

逻辑示例

  1. 将流程块（条件式）拖到画布上，放在 AI 智能体步骤之后。
  2. 点击相应条件，打开占位符菜单。
  3. 找到并选择 AI 智能体 步骤的结果。
  4. 打开 JSON 结果的表达式构建器，然后选择要评估的值（例如 verdict 或 confidence_level）。
  5. 根据 AI 的数据洞见定义分支：
    • 真阳性：与补救措施（例如“隔离主机”或“屏蔽用户”）相关联。
    • 误报（高可信度）：连接到关闭提醒操作，以自动减少分析师噪音。
    • 误报（低/中等可信度）：连接到分析师分配或人工审核步骤，以进行二次验证。

管理代理配额

为保持一致的 playbook 性能和系统稳定性，请确保您的工作流不超出 Agentic Automation 的服务限制。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。