用途：针对 Elastic Security 告警进行逐个分诊，流程为获取告警→调查上下文→记录案例→确认告警。依赖 case-management 技能完成案例创建。
主要能力：抓取最旧的未确认告警；对 Elasticsearch 执行 KQL 或 ES|QL 查询以收集进程树、网络、相关告警等上下文；创建/更新案例、附加告警与添加评论；按单条、关联、主机或查询模式确认告警，支持批量与 --dry-run 预览。
使用方式：先在 skills/security 目录执行 cd skills/security && npm install，并设置 ELASTICSEARCH_URL、ELASTICSEARCH_API_KEY、KIBANA_URL、KIBANA_API_KEY（可写入工作区根目录 .env）。常用命令：node skills/security/alert-triage/scripts/fetch-next-alert.js、node skills/security/alert-triage/scripts/run-query.js --query-file query.esql --type esql、node skills/security/case-management/scripts/case-manager.js create、node skills/security/alert-triage/scripts/acknowledge-alert.js --related --agent <id> --timestamp <ts> --window 60 --yes。写入操作需加 --yes 跳过确认，批量确认前先用 --dry-run。ES|QL 含管道符，PowerShell 下须用 --query-file 传入。
适用场景：SOC 告警分析、按 agent/主机与时间窗口分组的多告警批量分诊。
限制与原则：须完成完整流程，不可仅收集上下文后停止；不要过早分类，规则名与严重级别不作为证据，证据不足时“unknown”可接受；报告只引用工具返回内容，标识符、时间戳、主机名需原样复制；撰写 ES|QL 用临时 .esql 文件传递。环境变量与集群地址须在使用前确认，确认操作不可撤销。