Greenlight称Luna自主处理超90%安全与风险案件，月均最多4000起
AWS博客介绍，Greenlight Financial基于Amazon Bedrock AgentCore搭建分层多智能体系统Luna，用于安全运营中心告警分流；自动化率从仅Tier 1时的83%升至Tier 1与Tier 2合计的90%以上，但处置动作仍由人工或经批准的策略授权。
AI解读：Greenlight Financial在AWS官方博客中称，其安全运营中心每月接收3000至4000起安全与风险告警，Luna自主解决其中90%以上，无需人工介入。相关数据来自Greenlight自身的生产测量。
Luna采用Tier 1与Tier 2两级监督者架构，运行在Amazon Bedrock AgentCore上，调用30多个专用智能体，覆盖身份与访问、终端检测、支付处理、客户支持、威胁情报等告警来源。
据博客给出的对比，仅Tier 1时自主解决率为83%，加入Tier 2和记忆学习管道后升至90%以上；升级到人工分析师的案件比例从100%降至17%，再降至10%以下。
记忆层是提升的关键机制：30天滚动的情景记忆用于识别并允许重复模式，长期记忆保存误报率判断和处置模板；当Luna以相同方式处理同一案件三次，系统将其记为确认模式。
在受监管环境中，Luna被设计为分流和给出建议，不自行执行修复动作；修复需由人工分析师或经批准的政策授权执行。
Greenlight在SOC部署后两个月将Luna扩展到金融风险分流，称架构改动很小，主要是增加风险领域专用智能体和监督者。
AWS机器学习博客刊文介绍，Greenlight Financial用Amazon Bedrock AgentCore构建了名为Luna的分层多智能体系统，用于安全运营中心（SOC）的告警分流。Greenlight称，Luna每月处理最多4000起安全和风险案件，自主解决90%以上，无需人工干预。
这些数字来自Greenlight的生产测量，由AWS博客转述，属于公司自述，未经独立验证。
告警来源与人工处理时间
Greenlight为家庭提供借记卡、储蓄工具以及Family Hub、Pet Tracker等联网设备，处理敏感金融数据，适用与大型银行相同的监管要求。其SOC每月从四类来源接收3000至4000起告警：暗网泄露卡、身份与访问异常、基础设施告警、金融风险事件。
博客称，单起暗网泄露卡通知就需要人工核对卡是否有效、与既往通知去重、查看客户会话数据并检查未结工单，每起耗时15至30分钟。
两级监督者与30多个专用智能体
Luna采用模仿人工SOC团队的分层监督者结构。Tier 1监督者运行在Amazon VPC内的AgentCore runtime上，代码通过ZIP文件和Amazon S3直接部署，负责高频初始分流，按告警类型调度30多个专用智能体并汇总结论，常规案件的中位分流时间为数秒。
超过Tier 1置信阈值的案件升级至Tier 2监督者，后者使用具备扩展推理能力的基础模型，跨3至5个数据源串联推理，生成带证据链的调查报告。
入口有三个：Tines SOAR用于自动化告警接入，是主要流量来源；安全、风险和ProdOps工程师可通过API直接发起调查；值班工程师可用Claude Desktop扩展以对话方式触发深度调查。
- Tier 1负责数量，Tier 2负责复杂度
- Tier 2按Amazon EventBridge定时触发批量处理，也按需处理紧急升级案件
记忆层把自主解决率从83%推到90%以上
记忆层建立在AgentCore memory上，分为30天滚动的情景记忆和长期记忆。情景记忆保存近期事件与处置结果，用于识别重复模式和去重；长期记忆则保留语义偏好、误报率判断和处置模板。
博客举例：某基础设施角色每周二凌晨3点产生固定的访问模式用于计划维护，Luna在首次处理后将其自动加入允许列表，不再每周告警。另一例是历史数据显示某个暗网来源的卡片误报率达73%，系统据此优先去重。
记忆通过专门管道回流：AWS Lambda从Tines事件中捕获每次处置，DynamoDB存储模式并去重，当Luna以同一方式处理同一案件三次即记为确认模式，再由Lambda加工成监督者在推理时读取的上下文。
效果数据与人工介入边界
博客给出的三阶段对比为：Luna之前全人工处理，自主解决率0%；仅Tier 1时83%；Tier 1与Tier 2合计后超过90%。人工升级比例相应从全部案件的100%降至17%，再降至10%以下。常规案件中位分流时间从15至30分钟降至数秒。
Greenlight据此估算，按每月4000起、每起15至30分钟计算，原本需要约1000至2000个分析师小时，90%以上自主处理后每月可避免约900至1800小时常规人工工作。该估算基于Greenlight自身案件量和人工处理时长测量。
在受监管环境里，Luna只做分流和建议，不自行执行修复。修复由人工分析师或经批准的政策授权和执行，博客称这一分离满足了合规要求。
- 成本方面，博客仅称相当于多名全职员工，未给出具体金额
- 风险降低归因于速度（秒级对比分钟级）和一致性（不因疲劳或时段改变判断）
从SOC扩展到金融风险
Greenlight在SOC部署后两个月将Luna扩展到金融风险评估，称架构改动很小，仅新增专用智能体和风险领域监督者。原有检查Zendesk工单等智能体在风险案件中被复用，另增加Galileo和欺诈评分等专用智能体。
暗网泄露卡流程中，Luna从Mastercard和内部情报源接入卡号，向Galileo核实卡是否属于Greenlight、是否有效及近期交易，用DynamoDB去重，再查Mixpanel会话异常、Zendesk工单和内部欺诈评分，按风险等级记录监控、标记复核或带证据链升级人工。
博客称Greenlight每天收到数百条泄露卡通知，Luna在数秒内处理每条。
Greenlight还在探索将Luna的模式用于产品运营、自定义运维工作流和Well-Architected评估，并评估AWS DevOps Agent用于事件调查和根因分析。