安全团队普遍面临告警量增长与人力有限的矛盾。大量告警需要人工研判，其中多数是误报，这既消耗精力也容易导致重要告警被淹没。大模型在文本理解、信息归纳和上下文关联方面具备优势，因此被寄予缓解这一压力的期望。
第一，告警摘要与上下文补充。把分散的日志、资产信息和历史记录汇总成简明描述，帮助研判人员快速理解情况。这类任务不涉及处置动作，风险较低。
第二，初步分类与优先级建议。根据告警特征和资产重要性给出处置优先级建议，但最终判断权仍保留给人员。
第三，查询辅助。把自然语言转换为查询语句，降低使用分析平台的门槛，加快排查速度。
第四，报告与文档生成。自动汇总事件时间线、生成初步报告草稿，减少重复性文书工作。
第一，幻觉导致误判。模型可能编造不存在的证据或错误解读日志内容。如果研判人员过度信任输出，可能得出错误结论。因此所有结论都应可追溯到原始数据。
第二，过度自动化。让模型直接执行封禁、隔离等处置动作风险很高。一旦判断错误，可能造成业务中断，也可能被攻击者通过构造恶意输入诱导触发。
第三，敏感信息外泄。日志中常包含个人信息、内部地址和业务数据，如果把这些内容发送到外部模型服务，就构成新的数据外发通道。建议使用内部部署或经过评估的专用服务，并对输入做脱敏。
第四，提示注入。日志和告警内容可能被攻击者影响，如果在处理时未做隔离，攻击者可以在日志中植入指令影响模型输出。处理日志时应视为不可信内容。
第五，能力退化。长期依赖自动化可能导致团队分析能力下降，需要保留人工深入分析的场景。
建议从辅助分析起步，先用于摘要和查询，再逐步扩展到分类建议。设置明确的人机边界，处置动作必须由人确认。建立评估机制，定期检查模型输出的准确率和遗漏情况。
AI在安全运营中的价值是提高效率而非替代判断。把它定位为分析助手，同时守住数据边界和动作边界，能获得实际收益而不引入不可控风险。
售后客服
企业微信
