Un agente autonomo di triage è un software che indaga sugli avvisi di sicurezza con un intervento umano ridotto e produce un risultato strutturato per un analista. Può raccogliere il contesto da registri e altri strumenti connessi, organizzare le prove e riassumere i motivi per cui un avviso potrebbe meritare attenzione. «Autonomo» descrive il grado di lavoro delegato; non significa che il sistema sia necessariamente del tutto indipendente.
In un centro operativo di sicurezza, questi agenti possono aiutare i team a gestire il volume degli avvisi, ma i loro accessi e le loro azioni comportano rischi. Una conclusione errata può indirizzare male un'indagine, mentre autorizzazioni eccessive possono consentire a un agente di modificare sistemi o avviare flussi di lavoro senza un'adeguata revisione. I difensori dovrebbero applicare il principio del privilegio minimo, registrare le attività dell'agente, testarlo con input rumorosi o malevoli e richiedere l'approvazione umana per le azioni con conseguenze rilevanti. Gli analisti dovrebbero verificare i risultati confrontandoli con i dati telemetrici sottostanti.