STAIR 框架通过共享状态图实现端到端智能体安全事件响应

该论文提出 STAIR 框架，旨在解决现有 AIOps 方法在长周期、多阶段安全事件响应中缺乏统一决策依据的问题。STAIR 围绕共享的“图即状态”（Graph-as-State, GAS）组织规划与执行，将事件证据、响应动作和执行反馈统一存储，利用最新状态确定响应阶段及恢复目标，并基于当前状态检索经效果验证的历史经验以指导动作选择。

研究团队构建了 STAIR-Bench 基准，包含 44 个基于 Docker 的网络攻防演练案例。在预留测试集中，STAIR 的整体防御得分为 0.95，比最强基线高出约 10.47%；在包含持续攻击和良性活动的独立 CAGE4 环境中，其累计惩罚降低了约 28.8%。这些结果展示了该框架在维护事件状态一致性和对齐动态恢复目标方面的有效性。

事实层面，STAIR 通过 GAS 结构实现了规划与执行的解耦与联动，并在特定基准上取得了量化提升。推断层面，这种基于状态图的机制可能显著降低多步操作中的累积错误率，使 Agent 在面对复杂攻击时具备更强的鲁棒性。猜测层面，该框架在真实生产环境中的部署成本及对抗样本下的表现仍需进一步验证，目前数据仅来源于受控的 Docker 网络攻防场景。