信息技术 / 网络安全
Sophos：托管检测与响应(MDR)服务中的威胁案例调查与响应
- 企业
- Sophos
- 国家
- 英国
- 实施阶段
- 运营中
- 资料发布
- 日期依据
- 资料发布的时间，可能与启用日期不同。
- 依据核验方式
- 阅读原文正文
业务问题
根据OpenAI于2026年10月9日发布的客户案例，Sophos为各行业和地区的超过62.5万家组织提供保护。前沿AI模型帮助防御方更快地发现威胁，但随着同样的能力扩散到开放权重模型，攻击者也能更快地发现和利用漏洞。Sophos的托管检测与响应(MDR)服务汇集来自500多个第三方集成和自家产品的传感器数据，并把这些传感器每天产生的数万亿个事件提炼为约1,000至2,000个案例，交由9个安全运营中心调查。在Daybreak之前，案例的调查和响应主要依靠人的专业能力，平均约需38分钟，首席技术官John Peterson表示这一水平优于96%的专业安全运营中心。
使用的技术与数据
Sophos通过OpenAI的Daybreak计划，将OpenAI的模型与自家的威胁情报、响应手册和安全专业能力相结合，在其AI原生网络防御系统Sophos Fusion的MDR案例处理中引入了智能体。调查智能体为每个案例收集客户背景、检测结果、入侵指标(IoC)和相关威胁情报，规划模型制定调查计划、执行步骤并进行复核，然后生成摘要和供分析师审核的响应建议。其他智能体可以执行部分响应。客户通过通知、协作、授权三种运营模式确定控制范围，无论由人还是智能体完成工作都适用相同的边界，可能具有破坏性的操作仍需经过适当程度的人工监督。Peterson表示，凡是公司不放心交给智能体处理的事情都会交由人来判断。
成果
客户案例称，使用智能体的案例平均响应时间从约38分钟缩短到约89秒，OpenAI将其表述为调查时间缩短96%。Sophos表示，在分析师设定的边界内，52%的MDR案例由AI端到端处理。Peterson表示，公司处理的案例中约有一半现在由用Daybreak模型构建的智能体自动处理。公司表示，这种方式让客户获得更快、更一致的调查，让Sophos依靠算力扩大规模而不必同比例增加稀缺的网络安全人员，并让分析师专注于最需要其专业能力的威胁、例外和决策。
局限与待解问题
客户案例没有披露智能体判断的错误率、分析师修改结果的比例和测量期间。89秒仅是使用智能体的案例的平均值。
来源
本案例根据公开资料整理，并非 ATF Works 客户的成果。