用途：该技能让 AI 扮演资深 SOC 分析师，直接完成告警分诊——调查、逐条分类并给出结论，而不是只列出告警再询问用户如何处理。
主要能力：提供三个工具。triage-alerts 用于拉取告警并展示交互式仪表盘，参数包括 query、severity、days、limit、verdicts；manage-cases 用于创建或搜索案例以记录发现；threat-hunt 用于运行 ES|QL 查询做深入调查。
使用方式：调用 triage-alerts 时只调用一次，不要重复调用。query 可按威胁类型、主机名、进程或技术过滤，例如“triage ransomware”对应 query: "ransomware"，“alerts on SRVWIN04”对应 query: "SRVWIN04"。若已能分类，可同时传入 verdicts，每条包含 rule（检测规则名）、classification（benign/suspicious/malicious）、confidence（low/medium/high）、summary（1-2 句理由）、action（建议下一步），hosts（受影响主机名，可选）。仪表盘会在告警卡片上直接渲染结论徽章。工具返回后，需在仪表盘下方以文字给出分析：按主机或规则分组、逐条分类并说明理由、给出具体行动建议。详细分类标准见 references/classification-guide.md。
适用场景：安全运营中心（SOC）的告警分诊、威胁调查与案例记录。
限制：资料未说明支持的平台版本、权限要求、收费方式或部署条件，暂未提供。