Kibana Cases 是一个面向 Elastic 智能体的技能，用于在 Elastic Security、Observability 和 Stack Management 三个解决方案中管理调查与事件案例。用户可以在对应解决方案中创建、搜索、获取、更新案例，添加评论，附加告警和事件，关联 observables（如 IP、域名、文件哈希、URL），分配案例给用户，并通过连接器将案例推送到外部事件管理系统。
使用该技能前，需要确保已安装 elastic CLI。所有操作应通过 elastic CLI 执行，不应直接调用 HTTP API 或猜测凭证。案例按解决方案分区，用户一次只在一个解决方案中工作。在操作案例前，必须从用户明确表述中确定解决方案所有者（Security、Observability 或 Stack Management），如果未指定，应询问用户。一旦确定，所有创建操作和查找操作都应使用该所有者过滤，不得跨解决方案查询或写入。
主要能力包括：创建案例（需确认后写入）、搜索案例（只读，支持按文本、状态、标签过滤）、获取单个案例、添加评论、附加告警（一次一个，注意速率限制）、添加 observables（仅 Security 案例建议主动提供）、批量更新案例（需先读取最新版本再批量 PATCH）。案例状态流转为 open -> in-progress -> closed，严重程度为 low、medium、high、critical。
使用方式：通过 elastic CLI 命令执行对应操作，如 elastic kb cases create-case、find-cases、get-case、update-case、add-case-comment 等。部分操作（如 observables 管理）没有 CLI 绑定，需使用 HTTP 简写。非默认 Kibana Spaces 需在路径前加 kbn:/s/<space_id>/。注意 _find 的 search 在 Serverless 上可能返回 500 错误，建议使用标签过滤；标签过滤为精确匹配。
适用场景：安全团队进行 SIEM 检测规则调查、威胁狩猎、手动分类；可观测性团队处理 APM 错误、SLO 违规、指标/日志异常；通用案例管理。限制：需要 elastic CLI；必须确认解决方案上下文；写操作需用户确认；不得编造数据；只返回工具输出内容。