面向网络安全的基于多智能体LLM的事件中心可解释性方法

论文提出(EC)2框架，利用多智能体LLM进行结构化、假设驱动的安全事件调查，生成基于可验证证据的解释。在中小型企业网络场景中，该框架改进检测后分析，生成操作有意义的解释，并提升事件分类准确性。

相比传统特征级异常检测解释，(EC)2提供了基于上下文和实体关系的可验证解释，使安全分析师能更快理解告警的因果关系，提升事件分类准确率和调查效率。

多智能体LLM框架模拟分析师调查流程：各智能体负责不同调查角度（如证据收集、假设形成、验证），通过结构化对话生成最终解释，并链接回原始日志数据作为证据。

可直接集成到安全运营中心（SOC）的告警分析流程中，减少分析师手动关联上下文的时间，降低误报排除成本，提高事件响应速度。

• 开发基于(EC)2的自动化安全告警解释插件，对接现有SIEM平台
• 提供轻量级多智能体编排服务，供SaaS安全产品调用
• 针对中小企业网络安全方案，输出可解释的异常检测报告
• 与端点检测响应（EDR）工具集成，生成调查路径建议

• 该框架在真实企业环境中部署的计算延迟和资源消耗如何？
• 多智能体LLM的协作机制是否支持自定义调查模板？
• 对于缺乏标注数据的中小企业，框架需要多少配置工作？