SLED 如何借助智能体 AI 赢得网络安全竞赛
内容提要
攻击者利用AI将入侵到横向移动的时间缩短至29分钟。SLED机构面临安全数据碎片化和人手不足的困境。智能体SOC可自动关联警报、调查实体并生成响应计划，由分析师审批关键操作，提升小团队效率。政府与高校案例表明，AI并未取代分析师，而是加速调查。坚实可搜索的数据基础是AI安全的前提。
延伸解读
数据碎片化是响应速度的结构性瓶颈
文章指出，SLED机构长期各自采购工具，形成多平台、遗留系统并存的复杂环境。这种碎片化导致66%的SOC每周浪费整整一天手动汇总数据。当攻击者横向移动时间已缩短至29分钟，数小时的数据协调就意味着数小时的暴露风险。因此，解决数据可搜索性和互操作性问题，比单纯增加安全工具更能直接提升响应速度。
智能体SOC的边界：辅助而非替代分析师
智能体SOC能自动关联警报、调查实体并生成响应计划，但关键操作如隔离主机或禁用账户仍需分析师审批。文章强调，AI并未取代分析师，而是通过减少手动工作加速调查。对于需要向董事会或立法机构问责的公共部门，保留人类决策和完整审计记录，是采用智能体AI时不可忽视的合规要求。
小团队借助AI扩展能力的现实路径
文章列举了多个案例：加州就业发展部60人团队将平均响应时间缩短99%；亚利桑那州精简团队每天处理12TB日志；布鲁塞尔自由大学仅3名工程师监控640亿条事件。这些案例表明，AI的价值在于让现有团队处理更大规模的数据和更快的调查，而非直接解决人手或预算不足的根本问题。
透明度与开放标准是信任智能体的前提
文章引用五眼联盟的AI联合指南，强调人类必须理解智能体的行为、原因和意图。同时，开放标准和可互操作架构能防止供应商锁定。对于受数据驻留要求约束的机构，Elastic的数据网格架构可在不集中存储敏感数据的前提下提供跨环境可视性。这些非功能性要求，是智能体AI能否在公共部门落地的先决条件。
Q&A
SLED机构为什么需要智能体SOC？
攻击者利用AI将入侵到横向移动的时间缩短至29分钟，而SLED机构面临安全数据碎片化和人手不足的困境，传统安全系统无法应对如此快速的威胁，因此需要智能体SOC来加速响应。
智能体SOC是如何工作的？
智能体SOC使用AI智能体执行多步骤安全任务：关联警报、收集上下文、调查实体并准备响应计划。智能体可以基于不断变化的信息进行推理，并随着调查的展开进行适应。在采取行动前，智能体会提交计划并等待分析师批准，每个决策都会被记录。
智能体AI会取代安全分析师吗？
不会。智能体AI并未取代分析师，而是加速调查。它让人员继续掌控影响重大的决策，同时减少手动工作。分析师可以查看经过调查并包含上下文信息的重点威胁列表，从而提升小团队的效率。
SLED机构在网络安全方面面临哪些主要挑战？
SLED机构面临安全数据碎片化、人手不足和预算限制。各个机构独立购买工具，导致互操作性差和协作困难。每周66%的SOC会浪费整整一天时间手动汇总数据，而攻击者可以在30分钟内横向移动。
智能体AI如何帮助小团队扩展安全能力？
智能体AI通过自动执行重复性工作、提供情境并加快调查速度，帮助小团队扩展能力。例如，布鲁塞尔自由大学仅需三名工程师即可运营整个安全体系，监控超过300个终端的640亿条事件；德州农工大学系统过去需要数月的威胁调查现在只需两小时。
为什么坚实可搜索的数据基础对AI安全至关重要？
坚实可搜索的数据基础是AI安全的前提。通过连接安全数据来添加上下文，同时不将数据从拥有者手中转移出去，然后让AI在此基础上减轻人工负担。Elastic的数据网格架构可在不集中存储敏感数据的情况下，提供跨云端、混合环境和本地环境的全面可视性。
