本文聚焦安全运营中心（SOC）中普遍存在的告警疲劳问题：每日产生的检测告警数量远超分析师可处理范围。以往研究通常直接提示或微调大语言模型（LLM）输出三分类标签（良性/恶意/待查），但未训练模型对检测是否构成真实威胁进行推理。作者提出一种基于思维链（Chain-of-Thought, CoT）推理的告警分类器，在真实人工标注的Windows端点检测数据上进行训练。训练流程结合了自动提示优化、自训练以及使用可验证奖励的强化学习，使模型能够生成推理轨迹并据此给出分类结论。实验发现，CoT推理虽然提升了分类性能，但会降低用于自动分类的标签token概率，导致置信度估计不可靠。为此，作者额外训练了一个校准器，该校准器读取完整推理轨迹并估计分类结论为正确的概率。最终系统在测试集上达到82.6%的准确率；在高置信度工作点（该系统用于自动化分类的运行区间）下，相比直接输出标签的LLM分类器，良性样本召回率提升43.0%，恶意样本召回率提升18.3%。研究还证明，未经训练的置信度评估会使高置信度召回率降为零，说明训练专门的校准器是不可或缺的环节。此外，经过微调的30B参数模型显著优于前沿的通用大模型（如GPT-4级别），表明针对特定任务的目标训练比单纯增大模型规模更有效。本文的核心贡献在于提出了一套结合CoT推理与概率校准的告警分类框架，为缓解SOC告警疲劳提供了新思路。

该论文提出 DrSec 系统，针对端点安全领域日益复杂的攻击以及现有安全产品（如 EDR）的碎片化问题——应用独立开发、误报率高、漏报、缺乏高质量标签——采用自监督学习预训练基础语言模型（LM）来处理事件序列数据。DrSec 输入进程的事件序列，输出进程的分布式表示（嵌入向量）。预训练后，LM 可通过少量或者无监督方式适配多种下游任务，统一当前分裂的应用生态。作者在包含约9100万进程和25.5亿事件的真实数据集上训练了两种 LM 架构，并在三个应用域（无监督进程识别、告警分诊、专家规则学习）中评估。实验表明：DrSec 能够准确进行无监督进程识别；在告警分诊任务上显著优于领先方法（例如精确率-召回率曲线下面积 75.11% vs. ≤64.31%），有效减少告警疲劳；还能准确学习专家开发的规则，从而允许调整事件检测器的误报和漏报率。论文的核心贡献在于证明了大规模自监督预训练能够生成通用且高效的进程表示，并促进端点安全中多种分析任务的一体化，减少对人工标注的依赖。