이 연구는 보안운영센터(SOC)가 대량의 경보를 선별해야 하지만 추론 전략이 무엇을 수집하고 언제 조사를 충분하다고 볼지를 어떻게 결정하는지가 불명확하다는 문제에서, 단일 패스 도구 사용부터 반복 검색, 샘플링 조사, 자기 검토, 명시적 검증까지 다섯 가지 대표적 접근을 연구했다. 실제 엔터프라이즈 텔레메트리를 라이브 SIEM으로 재현하는 상호작용형 벤치마크 ALERT-BENCH를 구축했으며, 다단계 공격 시나리오의 1,247개 경보에서 모든 접근이 공격 관련 경보의 최소 40.4%를 놓쳤다. 추적 분석에서는 검색 결과가 없을 때 공격 경보가 더 쉽게 기각되고, 동일 맥락 재검토는 오히려 순 교정 효과가 음수였다. 이에 저자들은 제안된 결정을 독립적 반박에 앞서 명시적으로 요구하고 기각 전 더 엄격한 증거 요건을 두는 멀티에이전트 프레임워크 AIDA를 제안해, 동일 경보에서 F1 0.958(기존 0.371~0.744)을 달성하고 거짓음성률을 40.4%에서 3.1%로 낮추면서 경보의 18.4%를 분석가에게 에스컬레이션했다.

• •실제 엔탰프래즇 눘마트리를 쟁현하늘 사이똀 벤치마크 ALERT-BENCH 구축
• •뎘 쮔 똘하 추뇨 전릏이 고삸 공개 관랐 경릋의 40.4% 이상을 라감
• •검사 교옐·돌이 없느 뫌정구 관랐 경릋 감각을 뫍주이는 패텸 확인
• •AIDA가 F1 0.958, 거짐음성륨 3.1%로 기존 컵광뿡다 크게 앞섬