本技能用于把高流量、重复性的安全分诊或修复工作交给 Microsoft Security Copilot 内置的专用半自主智能体，适合准备治理自主工作负载身份的团队。不适用于基础 Security Copilot 设置、SCU 开通与提示手册（另有技能），也不适用于通用 Entra Agent ID 设计或从零构建自定义智能体。
适用智能体：用户上报钓鱼工单用 Phishing Triage（Defender for Office 365）；DLP 与内部风险告警积压用 Alert Triage（Purview）；过期或重复的条件访问策略用 Conditional Access Optimization（Entra ID，仅建议模式，生产环境永不自主）；终端补丁或漏洞积压用 Vulnerability Remediation（Intune 与 Defender 漏洞管理）；面向管理层的威胁态势简报用 Threat Intelligence Briefing（Defender 威胁情报，只读自主）。
实施要点：先确认 SCU 容量与所属产品许可，通常每个并发工作流约需 1-2 SCU。每个智能体有独立 Entra Agent ID，应按特权服务主体治理，命名可预测、登记身份清单并监控登录。权限按最小特权收敛。监督模式应按操作而非按智能体设置：阻断、删除、重置密码或 MFA、变更策略等一律人工批准；标注、分类、只读富化和简报生成可自主。先在一个团队、邮箱、站点或设备组试点 2-4 周，衡量一致率、决策耗时、误报漏报和覆盖情况，一致率超过 90% 再扩大范围。将活动日志接入 Defender XDR 与 Sentinel，停用时禁用身份、撤销权限。
限制与护栏：高风险操作永远保留人工介入；智能体输入视为不可信，防止提示注入；监控 SCU 消耗；不得把多个智能体合并到同一身份；不要在第一天启用自主模式，不要使用全局管理员身份，不要跳过试点。具体定价与价格暂未提供。