揭秘：大模型如何助力安全运营

大语言模型和生成式AI热不热？热。过去两年，这个概念在科技圈简直火到没边儿。从客服助手、知识问答，到文生图、文生文章，再到更前沿的文生视频和数字人，应用层的新花样层出不穷。但你要是把视线拉回到数字安全这个硬核领域，就得换个说法了。多数安全从业者和厂商，其实还在比较早期的摸索阶段。说得直白点，真正具备商业价值、能大规模落地的LLM应用，目前少之又少。也正因为这样，那些走在前面的厂商怎么干、干出了什么结果，就成了行业里最让人惦记的事。

平时跟甲乙方、监管方、研究机构聊得比较多，大家普遍的看法是：

。但一谈到具体怎么落地，问题就来了：缺大规模算力、缺标注化的数据、评价标准没定、安全风险也没搞透。热情是有的，困惑也是真的。所以，谁都想知道，那些先行者到底是怎么干的，实际效果又是什么样。

01 安全大模型的落地，成业界关注焦点

2024年5月，国内独立第三方机构数世咨询，发了业界第一份叫《LLM驱动数字安全》的专业报告。这份报告把LLM在安全领域的技术原理、市场需求、价值应用、困难挑战，以及落地实践，都讲得挺细。还用雷达图的形式，标出了在LLM领域走得比较靠前的安全厂商。报告的核心判断是，LLM对安全的赋能，主要落在五大类和二十个子类上——具体可以看下面这张图。

这张图一看就明白，LLM在安全体系里的应用场景相当广泛。但如果回到目前业界最关注、也确实有落地实践的场景，那就非安全运营莫属了。报告里也专门提到：“LLM提升了交互性，极大增加了可解释性和推理能力，安全大模型在安全价值可视化和用户体验两个维度，有可能带来质的飞跃。虽然目前还在早期，但用户的采购意愿已经很强了。这种局面，主要来自LLM涌现的新能力在安全运营中降本增效的合理预期，以及用户内部创新研究的绩效牵引。”

其实，过去一年多，已经有十几家安全厂商陆续发布了安全大模型相关的新品。概念有了，产品有了，需求也很强烈，那现在大家最关心的，自然就是

。数世咨询的这份报告，用八个评价维度给十六家厂商画了雷达图。其中，“产品工程化”和“市场渗透度”这两个维度，跟用户侧的落地实战关系最直接。在这两个维度上，得分最高的，是深信服。分析师给出的两个标签很有意思：“首家安全大模型商业化应用”和“优秀的可视化与用户体验”。

02 大模型如何助力安全运营：深入实战的深信服安全GPT

为了搞清楚安全大模型到底怎么落到实战里，这里可以拿深信服做个具体案例来拆解。根据深入交流得到的信息，深信服在安全大模型上可以说“投入早、投入大”。从2022年底就开始训练，2023年5月首发，现在已经迭代到3.0版本。背后是数百张A100/A800显卡组成的集群，和一个400人的专职硕博团队。更重要的是，大模型支撑安全运营的深度，跟业界其他方案完全不是一个层次。他们已经建起了一套完整的“大模型使用+数据积累+安全和算法专家清洗和标注”的数据运营转化机制——这恰恰是大模型用微调等方式提升能力的关键。

基于这套机制，深信服把安全GPT拆成了两个细分模型：

和。检测大模型主要充当检测引擎，帮用户识别那些未知的、隐蔽的、高对抗性的威胁和攻击行为；运营大模型则像一个智能助手，负责辅助运营分析、自动研判处置，核心目标是优化安全运营效率。

到2023年，这个方案已经走向标准化的成熟产品交付。截至目前，深信服安全GPT累计上线客户超过130家。具体效果怎么样？看一个实际案例就清楚了。

某国家部委客户，数字化环境里跑着大约300个信息系统，还有30种、数百台安全设备。每天产生的日志量达到数亿条，安全告警也有数万条。这么大的量，安全团队面临的困境很典型：安全事件发现滞后、处理效率低下、安全运维报告的编制周期至少一周。客户的诉求很具体：希望能在一个一站式登录的集中管理平台上，把每天的安全告警数量大幅压缩到约40条，平均每次安全事件的处理时间缩短到0.5小时左右，安全运维总结报告能自动导出、立等可取。

在这个案例里，深信服安全GPT用了三台大模型服务器，分别对应三种不同层级的能力：

安全检测

通过深度分析网络流量，及时发现并处置潜在安全威胁，尤其增强对恶意代码混淆、编码绕过类的0day/1day攻击的检出能力。

辅助运营

基于自然语言交互的安全运营助手，可以快速了解漏洞数量、类型和严重程度。在安全事件研判环节，按一个键就能触发安全辅助，快速完成告警解读、情报查询、事件分析等闭环操作。

智能运营

这个模型能对所有告警逐一研判，自主分析，并联动各类安全设备进行处置，实现全网24小时人工智能自动化值守。

到2023年底，安全GPT已经在客户侧完成了本地化检测大模型和运营大模型的实际业务环境部署。2024年初，又完成了第三方安全产品的接入和验证测试。实际达到的效果是：检测大模型精准率超过95%，误报率低于4%，独报告警占比达到82.8%，并且在真实业务环境中发现了高价值的恶意代码混淆攻击案例。运营大模型方面，自主研判实现的告警降噪效果超过99.8%。

这些数字不是实验室数据，是真刀真枪在客户业务环境里跑出来的。

03 用户真实反馈：1人就能守护数万资产

那位国家部委的客户给出的评价很直接：“深信服XDR+安全GPT，提升了对恶意代码混淆及零日漏洞的检测能力，日常安全运营时效提升20%，工耗降低25%，还补齐了夜间安全监测的研判处置能力，实现了全天候7×24小时无间隙安全值守。”在他们的数字化转型里，安全GPT被视作一种“新质生产力”。

另一个来自顶尖制造企业的案例，评价更高。该企业的安全运营负责人说：“几万（数量）资产日常安全监测，现在1个人就够了。以前每人每天最多分析200条告警就很夸张了，加班加点到12点也就500条。现在每天就看需要处置的几十条重要告警，轻松应对。之前一个事件处置大概要5-6小时人工处理，结合安全GPT智能值守，几分钟就能搞定。如果按学历等级来划分，深信服安全GPT与其它大模型相比，

。”

04 结语：告警降噪，只是开始

如果把安全运营工作再往细了说，就绕不开告警降噪这个场景。安全领域的专业人士都知道，告警降噪是整个行业最大的顽疾之一。所以，在一些重要监管机构对安全大模型效果的测评里，首当其冲的测试项就是告警降噪，然后是流量检测和网络钓鱼。从目前来看，这三大检测目标，也是安全大模型最主流、最成熟的应用场景。

往后看，随着LLM算法和预训练数据质量的持续提升，越来越多的安全场景将被赋予LLM的能力。甚至可以说，所有的安全产品和安全体系，都将被人工智能重塑。这恰好印证了《LLM驱动数字安全》报告中的那个判断：“

”