Sophos利用OpenAI Daybreak将威胁调查时间缩短96%

事件概述

网络安全公司Sophos宣布，通过与OpenAI合作，利用其前沿AI模型优化了现有的网络安全防御体系。这一举措旨在应对日益缩小的“防御者窗口期”，即攻击者利用先进模型发现漏洞和加速 exploited 的速度不断加快。Sophos将其四十年的领域专业知识与OpenAI的前沿智能相结合，通过其AI原生网络防御系统Sophos Fusion，实现了对海量安全事件的快速处理和规模化保护。

核心信息与技术实施

1. 性能提升数据

• 响应速度飞跃： 使用AI代理的案件平均响应时间从之前的约38分钟大幅缩短至89秒。这一速度优于全球96%的专业安全运营中心（SOC）。
• 自动化程度： 目前，Sophos处理的MDR案件中，有**52%**由基于Daybreak模型开发的AI代理实现了端到端的自动解决。
• 规模效应： Sophos保护着超过625,000个组织，该系统帮助其在不增加同等比例稀缺安全人力的情况下，扩展了计算能力和覆盖范围。

2. 工作流程重构
Sophos Fusion系统每天从500多个第三方集成及其自有产品中收集数万亿条事件，并将其提炼为约1,000至2,000个待调查案例。AI代理改变了这些案例的处理方式：

• 调查代理： 自动收集客户上下文、检测结果、失陷指标（IoCs）及相关威胁情报。
• 规划模型： 构建“计划-执行-审查”循环，生成调查计划，执行步骤，并输出包含推荐响应行动的摘要供分析师审核。
• 响应代理： 协助执行部分响应操作。

3. 人机协作机制
为确保安全可控，Sophos在MDR服务中保留了三种操作模式，无论工作是由人还是代理完成，均适用相同的边界：

• 通知（Notify）： Sophos进行调查并推荐响应，由客户采取行动。
• 协作（Collaborate）： Sophos与客户在行动前共同工作。
• 授权（Authorise）： Sophos代表客户直接响应。

Sophos强调，任何涉及潜在破坏性风险的操作仍需经过人类判断。对于AI代理无法自信处理的复杂情况，会自动转交给人工专家。

值得关注

• 战略意义： 这种结合不仅提供了工具，而是将领域专业知识规模化，使Sophos能够以更快的速度站在攻击者之前。
• 行业建议： Sophos CTO John Peterson建议其他安全领导者回归安全基础，如补丁管理、多因素认证（MFA）、网络分段和强大的安全运营，因为漏洞发现和利用的速度前所未有地快，仅靠补丁无法覆盖所有未知风险。
• 未来展望： Sophos计划继续扩展AI代理的能力范围，使其能处理更复杂的用例，并进一步细化响应能力。