当AI加速攻击、智能体开始自主行动，企业的安全防线该如何调整？
AI能帮助安全团队减少告警、发现威胁，又该由谁来管住AI自身的风险？
本期煮酒会英雄，老谭为我们请来了新华三信息安全技术有限公司研发总裁、首席技术官韩小平，二位借助新华三AI安全战略（AI in SEC、AI for SEC和SEC for AI）拆解AI时代的安全风险、威胁检测、智能体管控和安全运营。从海量告警如何降噪，到智能体权限如何划界，再到自动化处置为何仍需人工确认……这场对话将帮助读者看清：AI已经能解决哪些安全难题，还有哪些关键问题需要继续攻克。
对谈精华内容
一、如何应对AI时代的安全风险？
谭晓生： 今年，Mythos的发布以及涉及Hugging Face的安全事件，让网络安全行业更加关注AI的影响。AI会颠覆安全产业，还是赋能安全产业？AI自身又会带来哪些安全问题？您怎么看？
韩小平： 我认为主要有两方面影响：一是改变攻防格局，二是重新定义安全市场。
AI正在同时增强攻击和防御能力，但目前对攻击端的提升更加明显。有一组统计数据显示，从系统突破到横向移动，攻击者借助AI可以将时间缩短到29分钟，比2024年快了65%。面对这样的攻击速度，防守端也必须用AI增强防线，以机器速度对抗机器速度。
与此同时，AI安全，特别是智能体安全，正在形成新的市场需求。智能体既有执行能力，也有自主规划能力，还容易受到诱导。将这样的系统放进生产环境，可能产生难以预料的风险。如何让智能体安全、可靠地运行，是安全行业面临的新挑战，也是新的机会。
谭晓生： 面对这些变化，新华三采取了哪些举措？
韩小平： 我们的思路是用AI守护AI、用AI对抗AI。在产品规划上，新华三AI安全战略主要分为三个方向：AI in SEC、AI for SEC和SEC for AI。
AI in SEC，是把AI能力嵌入安全设备，提升威胁检测和设备运维能力；AI for SEC，是通过AI重构安全软件与平台，提升安全运营效率；SEC for AI，则是为AI本身提供安全保障，覆盖算力基础设施、模型和智能体应用。
新华三从2023年开始研究大模型相关安全问题，同时开展智算解决方案建设。围绕智算场景，我们逐步构建了覆盖基础设施、模型到应用的全栈AI安全方案。
谭晓生： 在算力基础设施这一层，主要防范什么风险？有哪些防护手段？
韩小平： 这一层主要防范算力滥用，以及挖矿、勒索等威胁。我们采用防火墙、网络检测与响应系统（NDR）、终端检测与响应系统（EDR）协同防护：防火墙守住边界，NDR持续检测，EDR负责终端处置。
这三类产品分别承担不同环节的任务，共同保护底层算力环境。
谭晓生： 在模型和智能体应用层，客户当前最关心哪些问题？新华三如何应对？
韩小平： 对于使用互联网SaaS模型的中小企业，现阶段最关心的往往是三个问题：谁在使用模型、花了多少钱，以及使用过程中有没有泄露内部数据。
因此，我们首先关注模型代理、身份权限管理和Token成本管理。比如，一个面向财务人员的查询智能体，不同人员能够查询的数据范围不同，就需要控制访问权限。同时，企业也需要审计各部门、各业务单元、各模型的Token用量，找出低效的使用方式和业务。
谭晓生：是的，Token正在成为生产资料，如何有效使用，已经是客户的实际需求。
韩小平：在这类场景中，AI安全网关可以承担模型代理、身份与权限管理、成本管理、模型护栏、数据安全，以及智能体行为链审计等功能。
但网关和终端看到的都只是局部。要掌握全局，还需要智能体安全管控平台，统一梳理企业内部的智能体资产，并关联终端、AI网关和防火墙等设备的信息，形成整体视图。
二、如何用AI提升威胁检出率与准确性？
谭晓生： 新华三过去在大带宽、低延迟方面有较强积累。进入AI时代，这些优势如何延续？
韩小平： 我们的硬件优势仍在延续，同时也在根据AI时代的流量变化调整系统架构。
过去主要是人访问应用，很多交互是短连接，对即时性的要求也没有那么高。智能体则不同：一件人需要两天完成的工作，它可能一分钟就完成，流量会在短时间内集中产生；长任务、会话式交互也会增加连接规模；一些任务之间存在依赖关系，对时延更加敏感。这些变化都对安全设备提出了更高要求。
我们的做法是通过硬件加速，将部分业务卸载到加速芯片，释放CPU资源。一方面提高转发性能，另一方面降低转发时延，使其达到约1微秒级别。
另一个变化是加密流量更加普遍，模型调用和智能体之间的交互通常采用HTTPS。安全设备要深入检测其中的访问行为、访问关系和传输数据，就需要先解密。我们也通过硬件加速处理解密任务，以适应智能体时代的深度安全防护需求。
谭晓生： 目前，新华三主要把AI嵌入了哪些安全产品？解决了哪些传统痛点？
韩小平： 主要是防火墙、入侵防御系统（IPS）、NDR等流量检测类产品。
我们一直在探索用AI增强威胁检测。传统基于特征的防护存在几个难点：对未知威胁的识别有滞后性，加密流量越来越普遍，攻击工具变种以及命令与控制（C2）外联行为也很难完全依靠特征覆盖。
大模型出现后，我们重点探索了两个适合在设备中落地的场景：钓鱼邮件检测和设备智能运维。
谭晓生： 钓鱼邮件检测是在防火墙上完成的吗？
韩小平： 有两种方式。一种是在设备本地配置算力卡，运行小参数模型。防火墙提取邮件内容后，交给模型检测，再接收检测结果。另一种是在客户允许的情况下，将邮件交给云端模型分析，再把结果返回本地设备。
大语言模型擅长自然语言处理，多模态模型还能分析图片等内容。这些能力适合用于识别形式越来越复杂的钓鱼邮件。
例如，有些邮件将内容放在多层压缩包中，有些通过图片里的二维码引导用户访问链接。模型可以调用解压缩等工具还原内容，再进行文本识别、图片识别和二维码链接分析，并结合威胁情报作出判断。我们在这些场景中已经开展了相应工作。
谭晓生： 设备智能运维主要体现在哪些方面？防火墙策略管理一直是用户的难题，AI能发挥什么作用？
韩小平： 我们会在设备算力卡上部署小参数模型，用于策略优化、日志分析和故障诊断等任务。
防火墙策略管理确实很复杂。在金融行业，一台设备可能有十万条以上的策略。随着业务调整和策略迭代，一些规则是否仍然有效、是否还有价值，往往难以判断，最后就变成“不敢删、不敢动、不敢改”。
大模型出现之前，我们已经通过本地规则和算法做策略优化，例如检查冗余、重复、包含关系，以及结合匹配记录识别长期未使用的策略。
大模型进一步提供了文本理解能力。策略本身主要以文本形式表达，将规则和分析方法交给模型后，它可以辅助完成分析。我们主要关注两个指标：一是效率，在十万条以上的策略规模下，能否更快完成分析；二是准确性，能否进一步提高分析结果的可靠性。
谭晓生： 在安全运营中，AI带来了哪些比较明显的变化？
韩小平： 比较明显的变化体现在告警降噪、威胁研判和响应联动等方面。
以告警降噪为例，海量日志长期占用安全运营人员的大量精力。过去，我们主要采用关联分析和聚合算法，虽然有效，但与用户预期仍有差距。
大模型带来的关键变化，是能够从语义层面理解日志。不同设备产生的日志，格式和描述可能完全不同，却可能在讲同一件事。大模型可以识别这种关联。
我们研发了基于技战法动态建模的告警降噪技术，由模型对告警日志进行标注和分析，再将属于同类攻击技战法的告警聚合。在这一场景的实际现网应用中，可以减少约90%的告警，降噪效果比较明显。
谭晓生： 除了告警降噪，还有哪些环节受益于大模型？
韩小平： 日志适配也是一个典型场景。
客户现网通常接入大量第三方设备，各家设备的日志格式不统一，版本更新后还可能变化。过去需要人工阅读手册、分析日志，再编写和下发解析规则。
现在，我们可以让大模型结合已有的解析规则与逻辑分析日志，生成相应的解析规则。这既能提高我们的部署效率，也能加快客户现网设备的接入。
三、怎么有效管控智能体安全风险？
谭晓生： 智能体的身份和权限管理，与传统企业系统中人的身份、程序的身份有什么关系？
韩小平： 智能体身份权限管理不只是技术问题，首先是治理问题。
企业要先知道自己有哪些智能体，才能谈得上管理。每个智能体的责任人是谁、用来做什么、应当具备什么权限、可以访问哪些工具，都需要梳理清楚。如果治理基础没有做好，仅仅增加技术手段，效果也可能有限。
从权限管理的发展来看，基于角色的访问控制（RBAC）主要依靠角色分配权限。但完成身份认证、获得权限，并不能充分回答后续行为是否合理。零信任进一步强调持续验证，不断确认访问主体的身份与访问条件。
到了智能体时代，还会出现新的问题：身份真实、权限有效，并不意味着当前行为符合最初任务。智能体为了完成目标，可能反复尝试各种方法，甚至好心办坏事，采取超出预期的行动。
因此，我们认为需要在传统零信任基础上增加“意图识别”这个维度：判断智能体当前的行为，是否处于完成任务所必需的最小权限范围内。
谭晓生： 也就是说，要把业务上下文带进来，知道它最初接到的任务是什么？
韩小平： 对。对于人的行为，我们很难直接了解其真实想法；但对于智能体，我们有条件获取它最初的任务目标，在一定条件下还可以获取相关推理过程。
这些信息可以帮助我们判断：它正在执行的动作，与最初任务是否一致，有没有发生偏离。这是智能体权限管理可以进一步探索的方向。
谭晓生： 一个任务可能包含很多步骤，如何判断中间步骤的意图有没有偏离？目前能做到什么程度？
韩小平： 我们分几个层次来处理。
首先是解析初始目标。智能体会围绕目标规划子任务，我们需要据此建立行为偏离的检查标准。不过，这一步并不容易，因为客户的业务系统和场景各不相同。模型虽然可以辅助分析，但实际落地仍然需要微调和精调。
因此，现阶段我们更依赖行为链识别。
行为链管控首先要有明确的红线。对于删库等高危操作，应设置默认拒绝规则。其次，延续零信任的思路，持续检查智能体的整体行为是否出现偏离或异常，再结合初始任务意图进行判断。
谭晓生： 不同类型的智能体，是否需要采用不同的管控方式？
韩小平： 是的，并不是所有智能体都需要同样严格、复杂的控制。
我们大致将智能体分为两类。第一类是专用智能体，只处理特定任务。例如财务查询智能体，访问的数据库、开放的权限和执行的动作都比较固定，可以提前通过RBAC等方式定义权限。运行时重点控制不同用户能够访问的数据范围。这类场景相对容易落地，也是现阶段比较适合着手的方向。
第二类是通用智能体。它更像数字员工，根据用户指令自主规划和执行任务。由于任务不固定，很难事先确定应当赋予什么权限，因此更依赖意图识别，判断其行为有没有偏离目标。这是未来需要重点攻克的方向。
四、AI如何赋能安全运营？
谭晓生： 您提到的AI for SEC，具体指什么？
韩小平： AI for SEC，是通过AI重构安全软件类产品，包括态势感知平台、NDR平台和云安全管理平台等。
我们的目标是将平台能力逐步智能体化，提升安全运营、运维和威胁检测的效率。
从传统安全运营中心（SOC）向智能体驱动的安全运营中心（Agentic SOC）演进，我们认为有三个重要变化：一是从“人加工具”逐步转向安全智能体，增强自主决策能力；二是能够主动开展响应处置；三是能够持续迭代，包括模型更新、智能体在线编排，以及根据业务场景灵活定义智能体。
因此，我们用三个词概括Agentic SOC：自决策、自协同、自进化。
谭晓生： 这三个能力分别如何体现？
韩小平： 自决策强调智能性，通过多个智能体协作，完成日志分析、告警降噪等任务，逐步形成完整的运营闭环。
自协同包括几个层面：与安全设备协同，通过标准MCP协议与外部平台协同，与人协同，以及与云端能力协同。其中，人与智能体如何配合，也就是“人在回路”，非常重要。
自进化主要涉及模型、知识库与记忆，以及技能（Skill）三个方面。
模型方面，我们考虑在开源模型基础上开展安全领域的微调。知识与记忆方面，则要沉淀客户现场的处置经验。不同客户有不同的业务白名单、处置偏好和事件敏感程度，这些经验需要积累下来，让智能体在实际操作中尽可能贴合客户的安全运营习惯。
未来，我们还希望支持多智能体编排，让用户通过自然语言或拖拽方式，根据特定业务场景定义新的智能体。在我们的理解中，智能体可以是一个最小业务处理单元；将这些单元组合起来，就能完成更复杂的任务，进一步形成多智能体协作。
谭晓生： 新华三目前已经做了哪些安全智能体？
韩小平： 我们主要围绕自身产品的核心能力来建设。
第一类覆盖安全运营全流程，包括日志接入、告警降噪、威胁研判、响应联动和自动化报告生成等，大约有十个智能体。
第二类面向特定场景，例如大型攻防演练期间的攻击者IP封控、漏洞挖掘与自动化扫描，以及策略分析等。
各类场景合计，系统中目前大约有三十个智能体。
谭晓生： 用户购买产品后，这些智能体是随产品提供，还是需要逐个付费？
韩小平： 我们目前的思路是，平台基础智能体能力随产品提供。现阶段，我们希望先让智能体在客户业务场景中真正用起来，产生实际价值。
对于一些已经比较成熟、客户价值也比较明确的能力，例如告警降噪，则会单独设置授权。
谭晓生： 安全处置涉及阻断等操作，一旦误操作，就可能影响业务。“人在回路”具体怎么设计？
韩小平： 我们对处置非常慎重。长远来看，智能体可能逐步走向自主运营，人更多承担事后审计工作。但在当前阶段，一些低权限、风险可控的操作可以交给智能体，关键决策仍然需要人来做。
对于涉及处置的任务，我们目前主要将智能体定位为建议提供者，由人确认后执行。
具体还要区分事前确认和事后审计。例如，联动EDR开展全盘扫描，风险相对可控，可以在满足一定条件和阈值后自动触发，保留审计记录，再由人事后检查。
但对于阻断等可能影响业务的操作，当前必须有人参与确认。这是现阶段比较现实的做法。
谭晓生： 产品增加AI能力后，客户需要增加多少预算？还是在原有预算内完成能力升级？
韩小平： 我认为，无论是软件平台还是嵌入式设备，AI最终都会成为标准能力。谁能把AI用得更好，谁就更有竞争力。从客户角度看，他们需要的是检出威胁、提高准确性，以及发现过去看不到的问题。客户会认为，这本来就是安全厂商应当提供的价值。
因此，我们希望将AI赋能到全系列产品中，无论是提高运营效率，还是增强检测能力，最终都要体现为客户获得的价值。
同时，新华三坚持先在内部实践，再向客户推广。无论是智算方案、AI安全网关，还是智能体相关平台，都会先在新华三内部使用，与公司自身的认证流程、权限控制和业务平台完成磨合，再推广复制。我们希望推向市场的产品，都是经过实际使用检验、真正可用的。
评论