背景
資安產業正面臨一個雙面局勢。前沿 AI 模型一方面讓防禦方能更快發現與調查威脅，另一方面，這些能力也正擴散到開放權重模型（open-weight models，指模型權重公開可下載、可自行部署的 AI 模型）中，等於給了攻擊者新的工具，讓他們更容易尋找漏洞並加速利用。Sophos 是站在這條防線上的公司之一，業務遍及全球，保護超過 625,000 個組織。其技術長 John Peterson 表示，Sophos 在資安領域深耕四十年，見證過極為多元的攻擊手法，也因此累積了大量對抗經驗。然而，這些專業知識過去主要依賴資安分析師的個人判斷與手動流程，面對每天數量龐大的安全事件，如何把專家經驗放大到每一個受保護的客戶身上，一直是核心挑戰。Sophos 的解方是與 OpenAI 合作的 Daybreak 計畫。這項計畫的目的並非單純給分析師多一個工具，而是把 OpenAI 的前沿模型與 Sophos 自有的威脅情報、回應劇本（response playbooks）及資安專業結合，讓資深專家的判斷力得以系統化地套用到所有客戶身上。
核心內容
Sophos 的技術基礎是 Sophos Fusion，一套 AI 原生的資安防禦系統，其中包含其託管偵測與回應服務（Managed Detection and Response，簡稱 MDR，指由專業團隊代為監控、調查並回應威脅的託管服務）。這套系統整合了超過 500 種第三方整合來源的感測器數據，加上 Sophos 自家產品的資料，每天產生數兆筆事件。Sophos 將這些事件過濾、濃縮，最終交由九個安全運營中心（Security Operations Centre，SOC）調查約 1,000 至 2,000 個案件。透過 Daybreak 建構的 AI 代理（agents）改變了這些案件的處理方式。一個調查代理會先收集案件所需的客戶背景、偵測結果、入侵指標（Indicators of Compromise，IoC，指能證明系統已被入侵的線索，如惡意 IP 位址或檔案雜湊）以及相關威脅情报。接著，一個規劃模型啟動「規劃－執行－審查」循環：先產出調查計畫，再逐步執行各項步驟，最後產出一份摘要並附上建議的回應行動，交由分析師審核。其他代理則可接手部分回應工作。在導入 Daybreak 之前，Sophos 處理一個案件平均需要約 38 分鐘。Peterson 表示，這個速度已優於 96% 的專業安全運營中心。導入 AI 代理後，使用代理處理的案件平均回應時間降至約 89 秒，縮短幅度達 96%。目前約有一半的案件已由 Sophos 以 Daybreak 模型自行開發的代理完成自動化處理。
技術與脈絡解讀
Sophos 在 MDR 服務中設計了三種運作模式，讓客戶自行決定 AI 代理的自主程度。通知模式（Notify）下，Sophos 調查案件並提出回應建議，但由客戶自行執行。協作模式（Collaborate）下，Sophos 與客戶共同參與，在採取行動前先取得共識。授權模式（Authorise）下，Sophos 可直接代客戶採取回應行動。關鍵在於，這些邊界對人工與代理一體適用。Sophos 利用自動化加速流程、釋放分析師時間，但潛在具破壞性的行動仍然需要適當層級的人為監督。Peterson 明確表示，凡是他們認為不適合交由代理處理的任務，一律交回人工判斷。這反映了目前資安 AI 應用的一個共識：模型負責處理大量、重複、規則明確的工作，而人類保留最終決策權。這種分工讓代理能在可控範圍內發揮速度優勢，同時避免自動化帶來不可逆的錯誤。
影響與限制
Sophos 公布的成效包含幾個面向。使用代理的案件平均回應時間從約 38 分鐘降至 89 秒；52% 的 MDR 案件在 Sophos 分析師設定的邊界內由 AI 端到端完成；客戶則獲得更快且更一致的調查體驗。對 Sophos 自身而言，這代表營運模式的轉變——用擴大運算量來支撐業務成長，而不是依賴等比例增加稀缺的資安人力。分析師的注意力則被釋放回來，專注在最需要專業判斷的威脅、例外狀況與決策上。至於下一步，Peterson 表示 Sophos 將持續擴大代理的能力範圍，回應能力會變得更為複雜，處理的使用場景也會更廣。他同時提醒其他資安領導者，最該重視的仍是安全基本面，包括修補漏洞、端點防護、多因素認證（MFA）、網路分段以及紮實的安全運營。他的理由很直接：修補程式只涵蓋廠商已知的漏洞，而當前漏洞被發現的速度與被利用的規模都是前所未見的，因此把基礎工作做好，比以往任何時候都更重要。這也點出一個現實限制：無論 AI 代理多快，它無法取代對未知漏洞的防禦佈局，只能讓已知威脅的調查與回應更快到位。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。