Sophos接入OpenAI，威胁排查耗时缩短96%

前沿 AI 技术正在从攻防两端重塑网络安全格局。先进的大语言模型既能帮助防御方更快发现并调查威胁，也被攻击者用来挖掘系统漏洞、加速漏洞利用。

作为服务全球超过 62.5 万家机构的网络安全厂商，Sophos 正在借助 OpenAI Daybreak 计划，将 OpenAI 的前沿模型与其自身的威胁情报、应急响应预案和安全攻防积累结合起来。这一举措的核心目标不是单纯为分析师增加辅助工具，而是让专业能力能够在所有客户场景中规模化复用。

Sophos 首席技术官 John Peterson 表示：“攻击方式层出不穷，我们在安全领域积累了四十年的攻防经验。OpenAI 带来的前沿智能能力，让我们能够把这些专业积累以自动化方式放大，服务所有客户。”

自动化工作流如何落地

该方案的核心依托于 Sophos Fusion——Sophos 的 AI 原生网络防御系统，其中包括托管检测与响应（MDR）服务。该系统整合了来自 500 多个第三方集成和 Sophos 自身产品的传感器数据。这些传感器每天产生数万亿条日志事件，最终被系统筛选、收敛为 1000 到 2000 个需要人工介入的研判工单，分配给全球 9 个安全运营中心（SOC）。

基于 Daybreak 构建的 AI 智能体彻底改变了这一排查流程：

1. 信息收集：调查智能体首先聚合客户背景信息、告警特征、失陷指标（IoC）及相关威胁情报。
2. 规划与执行：规划模型建立“规划-执行-复核”闭环，制定调查路径，分步执行，并输出总结报告与处置建议。
3. 协同响应：分析师审核建议后，其他专项智能体可直接执行部分阻断和处置操作。

在接入 Daybreak 之前，工单排查高度依赖分析师手工处理，平均响应时间约为 38 分钟——Peterson 指出，这一速度在业界已经优于 96% 的专业安全运营中心。而在引入 AI 智能体后，相关工单的平均处理时间降至约 89 秒，降幅达 96%，目前约 52% 的 MDR 案例已实现端到端自动化闭环。

让人工研判保留在核心环节

尽管自动化大幅提速，Sophos 仍在其 MDR 服务中设计了三级管控模式，确保客户拥有决定权：

• 通知（Notify）：Sophos 负责调查并给出处置建议，由客户自行执行操作。
• 协同（Collaborate）：在采取任何行动前，Sophos 与客户共同确认。
• 授权（Authorise）：在客户明确授权的边界内，Sophos 团队直接代为处置。

无论是人类分析师还是 AI 智能体，都必须遵循相同的操作边界。对于具备破坏性或高风险的防御操作，系统依然设置了严格的人工复核关卡。Peterson 强调：“凡是智能体处理把握不足的环节，系统都会自动转交人工研判。”

以算力规模突破人力瓶颈

安全人才长期短缺是行业普遍面临的痛点。AI 智能体的引入使安全团队能够通过扩展算力来承载业务增长，而不是线性堆叠人力。同时，分析师得以从海量重复性初筛中解脱出来，专注于复杂威胁、异常排查和关键决策。

Sophos 计划继续拓展智能体的能力边界与覆盖场景。但面对攻击工具同样被 AI 加速的现状，Peterson 提醒企业仍须筑牢安全基本盘：补丁修复只能解决已知漏洞，企业必须坚持涵盖端点防护、多因素认证（MFA）、网络分段在内的分层防御体系，才能在攻击节奏空前加快的环境中保持主动。