SENTINEL-RL：在安全运营中心中从 LLM 智能体卸载拓扑推理

大型语言模型（LLM）智能体正越来越多地被提议作为自主 SOC 分析师，但有两个限制使其在企业规模下并不可靠：有限的上下文窗口无法容纳包含数千台主机的认证图，而自由形式生成也无法保证所推荐的遏制操作与其所作用的拓扑保持一致。我们提出 Sentinel-RL，一种 agentic-SOC 架构，将拓扑推理与语义推理解耦：异构图注意力编码器将实时认证子图汇总为固定维度状态，Proximal Policy Optimization（PPO）策略将该状态映射到一组受约束的调查动作，而 LLM 智能体循环仅限于消费该策略的建议，并生成由评论器把关的、分析师可读的叙述。我们在 LANL Comprehensive, Multi-Source Cyber-Security Events 数据集和 Indiana University Quartz HPC 集群上实例化该系统，并报告四项结果：（i）两阶段 CREATE 摄取模式在单个 32 核节点上用 14.2 分钟将包含 2400 万条边的认证子图加载到 Neo4j 中，比规范的基于 MERGE 的流水线快约 24 倍；（ii）滑动窗口告警引擎在 50 次试验中可靠地在 <=2.5 秒内触发 25 事件/10 秒阈值；（iii）经过 200 次迭代的 PPO 训练收敛到 8.74+/-0.31 的平均单回合回报，在带标签的红队事件上保留集精确率为 0.91、召回率为 0.87；（iv）集成的遏制循环以 6.3 秒的中位时间完成一次完整的检测-调查-建议-人工批准周期。我们的贡献包括一种可复用的工程模式（热节点死锁规避方案）、一种可移植的 HPC 部署模式（锚节点共置），以及涵盖误报经济性、可逆性保证、审计合规和人工批准边界的企业就绪性分析。