# Triaż alertów i agenci śledczy

EN: **AI alert triage and investigation agents** · id `alerttriage` · aliases: alert triage automation, SOC investigation agents, AI SOC analyst, automatyczny triaż alertów, alert fatigue reduction

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [AI w zespole reagowania (SOC)](https://aiatlasgraph.com/t/secopsai.md) › Triaż alertów i agenci śledczy

## Description

- PL: Agenci językowi, którzy dla każdego alertu zbierają dowody z narzędzi bezpieczeństwa, oceniają jego wiarygodność i przygotowują uzasadniony werdykt.
- EN: Language agents that gather evidence from security tools for each alert, assess its credibility and prepare a justified verdict.

## In one sentence

- PL: Asystent, który dla każdego alarmu bezpieczeństwa sam zbiera informacje, sprawdza fakty i podpowiada, czy to prawdziwy atak.
- EN: An assistant that, for each security alarm, gathers information, checks facts and suggests whether it is a real attack.

## Problem it solves

- PL: Analitycy spędzają większość dyżuru na zamykaniu fałszywych alarmów i z przemęczenia przeoczają ten jeden prawdziwy.
- EN: Analysts spend most of a shift closing false alarms and, worn out, miss the one real attack.

## What it does

- PL: Jak pielęgniarka na izbie przyjęć: mierzy, pyta i sortuje pacjentów, a lekarz zajmuje się tymi, którzy naprawdę tego potrzebują.
- EN: Like a triage nurse in an emergency room: measures, asks and sorts patients, so the doctor sees those who really need it.

## Everyday example

- PL: Alarm: nowy program na laptopie dyrektora; agent sprawdza podpis pliku, historię instalacji i reputację i zamyka sprawę jako aktualizację drukarki, z notatką.
- EN: Alert: a new program on a director's laptop; the agent checks the file signature, install history and reputation and closes it as a printer update, with notes.

## This concerns you if you…

- PL: pracujesz na dyżurach w SOC
- PL: budujesz agentów z wieloma narzędziami
- PL: oceniasz narzędzia AI dla działu bezpieczeństwa
- EN: work SOC shifts
- EN: build agents with many tools
- EN: evaluate AI tools for a security team

## Keywords

alert triage · agentic SOC · SOAR · SIEM · EDR · multi-agent investigation · CORTEX · SIR-Bench

## How it works

- PL: Agent dostaje alert i dostęp do narzędzi: zapytań do SIEM i EDR, baz reputacji, katalogu użytkowników. Planuje kroki dochodzenia, gromadzi dowody, a wynik w formie werdyktu z uzasadnieniem trafia do analityka. Układy wieloagentowe rozdzielają analizę zachowań, zbieranie dowodów i końcowe rozumowanie, co ułatwia audyt decyzji.
- EN: The agent receives an alert and tool access: SIEM and EDR queries, reputation databases, the user directory. It plans investigation steps and gathers evidence, and a verdict with reasoning goes to the analyst. Multi-agent setups split behaviour analysis, evidence gathering and final reasoning, which makes decisions easier to audit.

## Limits

- PL: Pojedynczy model gubi się w zaszumionych danych firmowych i bywa mało przejrzysty. Agent może pewnym tonem zamknąć prawdziwy incydent. Publicznych danych z prawdziwych dochodzeń jest bardzo mało, więc trudno rzetelnie porównać skuteczność rozwiązań.
- EN: A single model gets lost in noisy enterprise data and is often opaque. An agent can confidently close a real incident. Public data from real investigations are very scarce, so solutions are hard to compare reliably.

## Key terms

- PL: **zmęczenie alertami**: Spadek czujności analityków przy nadmiarze alarmów.
- PL: **SOAR**: Platforma automatyzująca powtarzalne kroki reagowania na incydenty.
- PL: **playbook**: Spisana procedura postępowania dla danego typu alertu.
- EN: **alert fatigue**: Analysts losing vigilance when flooded with alarms.
- EN: **SOAR**: A platform automating repetitive incident response steps.
- EN: **playbook**: A written procedure for handling a given alert type.

## Know first

- [Orkiestracja subagentów (Subagent orchestration)](https://aiatlasgraph.com/t/subagents.md)
- [Autor i recenzent (Maker–checker review)](https://aiatlasgraph.com/t/makerchecker.md)

## Sources

- [CORTEX: Collaborative LLM Agents for High-Stakes Alert Triage](<https://arxiv.org/abs/2510.00311>) `wei-cortex-alert-triage-2025` · by Bowen Wei, Yuan Shen Tay, Howard Liu, Jinhao Pan, Kun Luo, Ziwei Zhu, Chris Jordan
- [Large Language Models for Security Operations Centers: A Comprehensive Survey](<https://arxiv.org/abs/2509.10858>) `habibzadeh-llm-soc-survey-2025` · by Ali Habibzadeh, Farid Feyzi, Reza Ebrahimi Atani

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/alerttriage · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30