事件响应规划（Incident Response Planning）是网络攻击后恢复受损系统的关键环节。传统上依赖专家编写的剧本（playbook），但这些静态工作流难以适应不断变化的事件状态、恢复目标和执行反馈。近年来，基于大语言模型（LLM）的规划器和工具使用代理虽能提升自动化程度，但在长周期响应中仍不稳定，原因是缺乏统一的基础设施来维护事件状态、将行动与当前恢复阶段对齐，以及复用历史经验。为此，作者提出 STAIR——一个端到端的代理式规划框架，专门面向事件响应。STAIR 将当前事件状态建模为“图即状态”（Graph-as-State），通过“阶段路由器”（Stage Router）将规划任务分发到针对特定恢复阶段优化的代理，并从历史经验库中检索相似场景以指导动作选择。此外，框架中的“执行引擎”（Execution Harness）负责执行动作、收集反馈以更新事件状态，并验证动作效果以便将来复用。在 100 个基于 Docker 的网络靶场实验中，STAIR 取得了 0.94 的归一化防御分数，比最强基线提升了 9.5%。这项研究适用于安全运营中心（SOC）分析人员、安全工程师以及关注 LLM 自主代理的研究者，尤其是那些希望将静态响应预案升级为动态自适应流程的团队。