Block 是 Square、Cash App 與 Afterpay 背後的母公司，業務橫跨金融與科技領域。對這類企業而言，資安團隊每天面對的不只是漏洞掃描與告警處理，還包括大量需要人工判讀、交叉比對與追蹤的調查工作。問題在於，傳統工具通常只能孤立地標記單一弱點，卻很難把不同產品、不同日誌中的訊號串成完整攻擊路徑；同時，資安人力有限，若多數時間都花在誤報分類與重複查詢，真正需要策略判斷的工作就會被壓縮。Block 的資安團隊因此開始把 AI 導入漏洞發現、偵測與回應流程，並以 OpenAI 的技術作為核心，包括 OpenAI Daybreak 與 OpenAI Defense Factory。其目標不是單純自動化，而是讓 AI 成為可擴充的隊友，協助團隊更快理解問題、提出修補方案，並保留人類最終驗證與決策的角色。
Block 資訊安全長 James Nettesheim 指出，AI 正在壓縮從人類意圖到實際行動之間的時間。過去資安領域常假設攻擊方具有優勢，因為攻擊者移動快、調整靈活；但隨著 Daybreak 與 OpenAI 工具鏈的進展，防禦方也能用類似方式加快節奏，跟上 AI adoption 的速度。Block 的資安團隊在程式碼生成與安全營運等流程中負責任地採用 AI，重點在於「有一個可以一起擴充的新隊友」。Nettesheim 表示，這不同於傳統自動化必須逐步設定，而是可以用相對客製化、甚至模糊的問題提示它，再一起釐清與推進。過去像是審查軟體錯誤或解析日誌，可能需要數天到數週，現在能在極短時間內完成，但每一項結果仍由人類驗證。
在偵測調校方面，Block 的每一次調查都會保存原始查詢證據，因此團隊現在可以把提議的偵測變更，重新對過去七個月的生產遙測資料進行回放，時間不到一小時。這項工作過去意味著要手動重新查詢數百個舊案例，實務上因為太耗時而很少真的執行。現在團隊也更有意識地針對不同任務選擇不同模型，不再一律使用最新模型。Block 的資安作業框架建構在 Daybreak 之上，負責把任務路由到合適的模型，並設有人工接手或代理彼此驗證的機制。團隊持續用內部基準與真實世界表現評估這些系統，必要時調整做法，包括把工作交由人工審查。自動化分類系統帶來更快且更多的處理量：分類吞吐量提升 50%，情資蒐集與調查增加 50%，並新增完全自主的狩獵能力。Nettesheim 說，這每季執行約 1,100 個分析師小時的調查，因為現在每個告警都會對其涉及的所有元素進行完整深入調查，「我們的系統對待每個告警，就像它是那天唯一的告警一樣」。
傳統掃描工具通常只孤立地標記單一漏洞，但 Block 的資安團隊透過 Daybreak 能走得更遠。模型可以協助推測攻擊模式，並把一系列攻擊串成完整的端到端入侵路徑，找出可能已存在多年的弱點。有一個案例是，單一台筆電的告警本身看起來只是輕微政策問題，但在同儕審查期間，模型追蹤到證據中只是偶然出現的指標，並將其與 Block 的身分日誌關聯，最後揭露更大的問題集合。Nettesheim 形容：「一個例行端點告警變成了一次行動追緝。沒有單一工具能完成這種關聯，這個訊號只存在於兩個產品的日誌之間。」另一個例子是近期的紅隊演練。模型獲得一些關於內部系統的提示後，在約兩小時內串出完整攻擊路徑，包括 SQL 注入、權限提升、建立立足點、憑證列舉，以及橫向移動到其他系統。若由人類紅隊成員執行，通常需要數天。在近期紅隊演練中，從提交高階漏洞到自動提出修補方案，只花了 18 分鐘。
找到漏洞只是第一步，能否修補同樣關鍵。Nettesheim 說明團隊對每一項發現的處理流程：先定位問題在程式碼中的位置並確認負責人，接著進入修復階段。實務上會提出修補方案、確認可利用性，然後驗證是否已修復，全程由人類引導並部署程式碼變更。代理雖然在技術上有能力，但不具備組織脈絡，也不了解過去決策背後的理由；人類提供這些脈絡與策略，因此團隊仍需保留人類審查層。Nettesheim 表示，隨著 AI 的判斷在實務中被驗證，他們會慢慢提高風險層級，把 AI 用於更敏感的系統。
從結果來看，Block 的資安團隊在偵測與回應工作中，每季約可回收 600 個原本用於誤報分類的分析師小時；每季完成約 1,100 個分析師小時的調查；分類吞吐量提升 50%；情資蒐集與調查增加 50%。這些數字反映的不是單純把人力換成 AI，而是把重複、耗時且容易因人為限制而中斷的工作交給系統處理，讓人可以投入更深入的調查與更負責任的自動化建設。限制也很明確：AI 仍需要人類提供組織脈絡、策略與最終判斷，且部署到敏感系統前必須逐步驗證。展望未來，Nettesheim 認為，隨著攻擊速度加快與模型持續進步，有機會從源頭減少被引入的漏洞，讓資安團隊少花時間修補，多花時間在預防性與策略性工作。他也指出，OpenAI 把這些先進能力交到更多人手上，正在把優勢轉向防禦方；過去這類能力多半只存在於高知名度科技公司與政府手中，但現在包括關鍵基礎設施、學校與小型企業，都能開始用這些技術防禦自己的網路。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。