从38分钟到89秒：OpenAI Daybreak如何重塑网络安全威胁调查效率

核心结论：AI智能体让威胁调查提速96%

当网络安全防御者的响应窗口不断收窄，前沿AI模型正在成为改变攻防格局的关键变量。Sophos借助OpenAI Daybreak计划，将威胁调查的平均响应时间从约38分钟压缩至89秒，降幅达96%，其中52%的MDR（托管检测与响应）案例已实现端到端AI自动化处理。这一数据背后，折射出的是AI智能体在安全运营领域从「辅助工具」向「核心生产力」的角色跃迁。

快速答案：Sophos通过OpenAI Daybreak构建的AI智能体，将威胁调查时间缩短96%，平均响应时间降至89秒，52%的MDR案例由AI端到端解决，同时保留人工判断在关键决策环节的主导权。

攻防不对称加剧：为什么安全运营需要AI重构

前沿AI模型的能力正在双向扩散。一方面，防御方可以利用先进模型更快地发现和调查威胁；另一方面，开放权重模型的能力外溢，也让攻击者获得了发现漏洞和加速利用的新途径。这种攻防不对称的加剧，使得传统依赖人力堆叠的安全运营模式难以为继。

Sophos首席技术官John Peterson指出，该公司保护着全球超过62.5万家组织，四十年的网络安全业务积累了应对各类攻击的深厚专业知识。但面对漏洞被发现和利用的速度与规模，单纯依靠增加安全分析师人数已不现实。这正是Sophos与OpenAI Daybreak合作的核心逻辑——不是给分析师多一个工具，而是让专业知识的杠杆效应覆盖每一位客户。

Sophos Fusion：AI原生防御系统的运作机制

整个合作的技术核心是Sophos Fusion，这是Sophos的AI原生网络防御系统，其中包含Sophos MDR服务。该系统整合了来自500多个第三方集成传感器的数据，以及Sophos自有产品产生的数据。这些传感器每天生成数万亿个事件，Sophos将其提炼为约1000至2000个案例，分配给九个安全运营中心进行调查。

通过Daybreak构建的智能体改变了这些案例的处理方式：

• 调查智能体：收集每个案例的客户上下文、检测结果、妥协指标（IoCs）和相关威胁情报
• 规划模型：创建「计划—执行—审查」循环，制定调查计划、完成步骤并生成包含建议响应行动的摘要供分析师审阅
• 响应智能体：执行部分响应动作

在引入Daybreak之前，案例调查和响应主要依赖人工专业知识，Sophos原有流程平均耗时约38分钟。Peterson表示，这一表现已经优于96%的专业安全运营中心。而借助Daybreak模型构建的智能体，平均响应时间降至约89秒，约一半的案例已实现自动化处理。

人机协作边界：三种运营模式下的判断权保留

Sophos在MDR服务中内置了客户控制机制，通过三种运营模式界定人机协作边界：

1. 通知模式（Notify）：Sophos调查案例并推荐响应方案，由客户执行
2. 协作模式（Collaborate）：Sophos与客户共同工作后再采取行动
3. 授权模式（Authorise）：Sophos可直接代表客户响应

无论工作由人还是智能体完成，这些边界同样适用。Sophos利用自动化提升速度、优化分析师时间分配，但可能造成破坏性后果的操作仍需相应级别的人工监督。Peterson明确表示：「任何我们认为不适合由智能体处理的事项，都会转交人工判断。」

成果一览：效率、一致性与可扩展性

从Sophos披露的数据看，Daybreak带来的改变体现在多个维度：

• 使用智能体的案例平均响应时间从约38分钟降至89秒
• 52%的MDR案例在Sophos分析师校准的边界内由AI端到端解决
• 客户获得更快、更一致的调查体验
• Sophos可以扩展计算能力，而非依赖稀缺的网络安全人力同步增长
• 分析师的注意力回归到最需要专业判断的威胁、异常和决策上

这种模式的意义在于，它让安全运营的扩展逻辑从「加人」转向「加算力」，缓解了全球网络安全人才短缺的结构性矛盾。

国内视角：中国安全厂商的AI智能体实践

在海外厂商推进AI智能体落地安全运营的同时，国内安全厂商也在加速布局。奇安信、深信服、绿盟科技等企业已推出融入大模型的威胁检测与响应产品，部分方案同样强调「AI辅助研判+人工确认」的协作模式。例如，奇安信的QAX-GPT安全机器人、深信服的AI安全运营助手，都在尝试将告警降噪、事件研判和响应建议生成等环节自动化。

与Sophos案例的差异在于，国内安全运营场景中，合规审计、数据不出境、多租户隔离等要求更为突出，这决定了AI智能体的响应动作往往需要更严格的人工审批链。此外，国内厂商在威胁情报的本地化积累、对特定攻击团伙的追踪方面具有独特优势，但在跨平台传感器整合的广度上，与Sophos Fusion这类覆盖500多个集成的系统相比仍有差距。总体来看，AI智能体在安全运营中的价值已被广泛认可，但落地节奏和边界设定会因市场环境而异。

未来方向：响应能力深化与安全基本功回归

Peterson透露，Sophos将持续扩展智能体的能力边界：「响应能力将变得更加精细，我们也会拓宽智能体所覆盖的用例范围。」他认为，借助Daybreak这样的计划，防御方有机会保持对攻击者社区的领先一步。

对于其他安全负责人，他的建议回归基本面：安全领导者应重新聚焦组织安全的基础工作，包括补丁管理，但补丁只能覆盖厂商已知的漏洞。真正的答案是维持「分层安全方法」，涵盖端点保护、多因素认证（MFA）、网络分段和强大的安全运营。Peterson强调：「漏洞被发现的速度令人警觉，被利用的规模前所未见。因此，把基本功做好，今天比以往任何时候都更重要。」

这一观点与业界共识一致。根据OpenAI官方发布的企业案例，AI在安全运营中的价值正从单点工具向平台化能力演进。而美国网络安全和基础设施安全局（CISA）也多次强调，AI辅助防御必须与基础安全实践结合，才能形成有效纵深。

常见问题

Sophos使用OpenAI Daybreak后，威胁调查时间缩短了多少？

Sophos将使用AI智能体的案例平均响应时间从约38分钟降至89秒，降幅约96%。同时，52%的MDR案例实现了端到端AI自动化处理。

OpenAI Daybreak是什么？

Daybreak是OpenAI面向企业合作伙伴的计划，旨在将前沿AI模型与行业专业知识结合，帮助企业在特定领域（如网络安全）构建定制化智能体。Sophos是该计划的合作伙伴之一。

AI智能体会完全取代安全分析师吗？

不会。Sophos保留了三种运营模式（通知、协作、授权），可能造成破坏性后果的操作仍需人工监督。AI负责提速和规模化，分析师聚焦于需要专业判断的威胁、异常和决策。

国内有哪些类似的安全AI智能体产品？

国内奇安信、深信服、绿盟科技等厂商已推出融入大模型的威胁检测与响应产品，如奇安信QAX-GPT安全机器人、深信服AI安全运营助手，均采用AI辅助研判与人工确认结合的协作模式。

企业部署AI安全智能体时最需要注意什么？

需平衡自动化效率与人工监督边界，确保合规审计和数据隔离要求得到满足，同时不能忽视补丁管理、MFA、网络分段等基础安全实践。

关于 Bingdada

Bingdada 是一个专注 SEO、GEO（生成式引擎优化）与 AEO（答案引擎优化）的内容平台，由资深内容编辑、SEO 技术工程师与 AI 研究专家组成的团队持续运营。我们追踪搜索引擎与生成式 AI 的最新动态，为读者提供准确、实用、可落地的方法论与行业洞察。

编辑团队：内容策划 · 技术编辑 · AI 研究组
网站：bingdada.com

© 2026 Bingdada. 保留所有权利。