Etapas envolvendo LLMs podem enriquecer a triagem em SOAR, mas sua implementação deve preservar o controle do analista sobre ações de maior impacto. Este curso ensina engenheiros de detecção a estruturar o enriquecimento baseado em evidências, restringir classificações e resumos, implementar etapas de aprovação e lidar com indicadores alucinados e ataques de *prompt injection*. Ao final, os participantes terão um *playbook* completo de triagem de *phishing* que permite notificações e marcações automáticas, exigindo, porém, aprovação para ações de contenção ou bloqueio.
O curso aborda a implementação segura de LLMs na triagem SOAR, o enriquecimento estruturado com citações e esquemas, a classificação e o resumo, as etapas de aprovação, as decisões auditáveis, os indicadores alucinados, a injeção de prompt via conteúdo de alertas e a construção de playbooks de triagem de phishing.