Sophos用AI把威胁调查时间砍了96%

最近看到Sophos披露了他们用OpenAI的Daybreak做安全运营的案例，效果挺震撼的。他们声称把网络威胁调查时间压缩了96%，同时让MDR（托管检测与响应）流程中52%的案例实现了自动化，而且全程保留人工监督。作为一个在跨境圈看多了安全厂商吹牛的人，我第一反应是这数字是不是有点太漂亮了，但仔细想想，如果真能把分析师从重复劳动里解放出来，这个方向确实值得关注。

具体来说，Daybreak应该是深度嵌入了Sophos的威胁分析工作流，用大模型去快速梳理告警、关联日志、生成调查摘要。以前一个初级分析师可能要花几十分钟甚至几小时去翻各种数据源，现在AI几秒钟就能给出初步判断，人只需要复核关键结论。52%的自动化率意味着超过一半的常规案例根本不需要人工从头跟到尾，这直接缓解了安全团队人手不足的老大难问题。不过我也有些疑虑。安全领域最怕的就是AI误判或者漏报，尤其面对精心构造的绕过攻击。Sophos强调保留人工监督，这很关键，但实际落地时人工复核的比例和深度怎么定？如果只是走个过场，那风险还是很大。另外96%的时间缩减大概率是针对特定类型的调查，比如钓鱼邮件或者常见恶意软件，遇到APT这种高级威胁，AI可能还是得靠边站。从行业角度看，这个案例再次证明生成式AI在安全运营中心（SOC）的落地正在加速。以前大家还在讨论能不能用，现在已经开始拼谁用得更好、更稳。对出海企业来说，如果自己的安全团队规模有限，借助这类AI增强的MDR服务或许是个性价比不错的选择，但一定要问清楚自动化边界和人工介入机制。总之，Sophos这个数据给行业打了个样，但我更想看到第三方独立验证，以及长期运行后的误报率变化。AI不是银弹，能把人从繁琐调查里捞出来已经是很大的进步了。