Kindo 推出 Deep Hat Sift，减少不必要的 AI 代理运行

AI 代理每读取一条安全警报或日志记录，都会产生费用，即使最终判断是无需采取任何行动。在企业级数据量下，这些没有发现问题的调查本身也可能形成相当大的工作负担。Kindo已推出 Deep Hat Sift，这是一种模型，旨在由较大型模型开始处理事件之前，先判断哪些传入事件值得触发代理运行。

Sift 于 10 月 28 日公布。它从所服务代理给出的判定中学习，然后筛除代理原本会忽略的事件。产品初期只观察而不拦截：在有人审查拟议的筛选行为并批准阈值之前，每个事件仍会送达代理。

这种方法引入了一种不同于选择更便宜语言模型的成本控制机制。Sift 的目标不是降低每次调查的费用，而是避免开展不太可能需要采取行动的调查。其有效性既取决于这些判断的质量，也取决于针对被跳过事件的控制措施。

在语言模型之前运行的决策模型

Kindo 将 Deep Hat Sift 描述为一种 System One 决策模型：它快速、成本低廉，回答的是筛选问题，而非生成响应。每个模型都针对特定的数据源、目标代理和筛选任务进行配置，因此学到的内容会反映其预定服务的工作负载。

这种针对性很重要。与安全调查相关的事件，可能与服务台工作流程毫无关系。Sift 会学习目标代理会忽略哪些事件，并将代理返回的判定作为训练信号。Kindo 表示，这样就不必为每个数据流单独开展人工标注项目。

初期部署采用影子模式。代理仍会检查所有传入事件，同时由 Sift 为这些事件评分，以便系统将自身预测与代理的判断进行比较。在开始筛选之前，操作人员会先看到一份预览，展示在他们自己的数据中哪些事件将会被拦截。

随后必须由人员批准一个阈值，并提供书面理由。这样一来，可接受的筛选行为由负责该工作流程的团队决定，而不是将启用筛选视为安装模型后自动发生的结果。

抽样与故障开放控制措施应对漏检问题

筛选会带来一个棘手的衡量难题：如果某个事件从未送达代理，团队如何知道它是否本应送达？Sift 会继续随机抽取一部分原本会拦截的事件并发送给代理，让代理对这些样本的判定用于持续衡量漏报率。

产品页面明确说明了衡量基准：召回率和漏报率是相对于代理的判断来衡量的。这些指标反映 Sift 在多大程度上复现了该代理的决策，但不能独立证明代理本身能够正确识别每一起安全事件或运营问题。

Kindo 表示，如果质量出现下滑，Sift 会以故障开放方式运行，将事件重新送交代理审查，而不是继续拦截。该公司还介绍了活动量上限，在活动量激增时可使系统恢复到影子模式。系统会记录被筛除的事件和审批决定，供团队检查哪些事件被拦截以及拦截原因。

“在有人批准阈值之前，系统不会筛除任何内容；如果质量出现下滑，就会以故障开放方式运行，将所有内容都送交 LLM 判定。”Kindo 的 Deep Hat Sift 工程师 Troy Presley 在公告中表示。

这些机制揭示了取舍，而非消除了取舍。采用更保守的筛选方式可以保留覆盖范围，但节省的运行次数会更少。更激进的筛选方式可能减少更多工作量，但也会更加依赖抽样、漂移检测以及下游代理的质量。

专为警报、工单和持续日志流设计

此次发布面向传入量大、需要采取行动的比例较低的工作负载。Kindo 列出的应用场景包括 SIEM 和终端检测警报、工单队列、用户提交的网络钓鱼报告、系统与网络日志，以及来自 Kafka 等平台的数据流。监控数据源包括 Splunk、Datadog 和 New Relic。

Sift 位于代理之前，而不是取代这些来源系统。安全平台会继续生成检测结果，工单系统会继续保留队列中的工单，而代理仍负责处理送达它的案例。这个新增层负责决定哪些事件会触发额外的 AI 工作。

同样的模式也可用于审查交易或政策数据流的财务与合规工作流程。在这些场景中，挑选事件供审查，与作出欺诈检测或合规判定是两回事。目标代理及其所在的业务流程，仍是影响最终结果的重要组成部分。

Sift 如何融入 Kindo 的代理管理平台

Kindo 更广泛的平台将代理与安全、基础设施和 IT 运维领域的企业系统连接起来。它把执行能力与上下文、权限和运营监督结合起来，为团队提供一个管理模型选定之后各项工作的场所。

该公司的网站介绍了智能体的归属、访问策略，以及如何按智能体、所有者和团队归集成本。Sift 在工作流程的更早阶段增加了一道控制：判断某个事件是否应该触发智能体运行。这将技术层面的过滤决策与运营层面的问题联系起来，即哪些工作负载正在产生推理成本。

根据发布公告，Deep Hat Sift 现已支持本地部署、自主管理的云环境、Kindo 云环境和气隙隔离环境。评分在 Kindo 的安装位置运行，模型调用则通过该平台管理。该产品可与 Kindo 智能体协同运行。

节省多少取决于事件流

Kindo 尚未提供 Sift 的一般性节省比例或通用准确率基准。相反，其产品页面建议团队先预览在自身事件流中暂不处理事件的效果。对于买家而言，这一区别很有参考价值：经济效益取决于事件量、每次避免运行所节省的成本、可采取行动的事件占比，以及团队所能接受的运行阈值。

对于噪声较多的事件流，避免不必要的智能体运行或许能降低持续 AI 审查的成本。对于漏掉事件可能造成严重后果的事件流，采样和升级处理控制与推理费用同样重要。Deep Hat Sift将这些决策纳入智能体工作流程，使核心问题从“应该由哪个模型处理某个事件”转变为“这个模型是否真的需要处理该事件”。