安全告警像一地散落的拼图：某个账号突然登录、某台云主机行为异常、网络流量又出现可疑变化。单看一条都难下结论，安全人员往往要跨账户翻查日志，才能判断它们是不是同一次攻击。Amazon GuardDuty Investigation Agent 的做法，是让 AI 接手这段初步追查：从一条 Finding（安全产品生成的结构化告警，并不等于攻击已经坐实）出发，关联历史活动和资源关系，再整理成调查报告。
据 InfoQ 报道，这款公共预览工具会综合安全发现元数据、90 天活动日志和受影响资源拓扑，给出风险等级、置信度、攻击手法分类及 CLI 修复步骤；调查范围可覆盖单条告警、单个账户，或最多 100 个组织成员账户。亚马逊云科技希望把原本数小时的调查缩短到数分钟。值得注意的是，它不只是替告警写摘要，而是在进入实际调查流程。不过目前每个账户每天最多调查 10 次、预览期累计最多 100 次，更适合验证流程，尚难承接真实规模的自动响应；修复前仍需人工核验和决策。