趨勢——AI 原生 SOC:從自動化走向自主調查
在結束這些報告的第一季之際,讓我們退一步,審視這一切文章所座落的更大轉變:資安維運中心(SOC)正如何改變,以及「AI 原生」在口號之外,實際上意味著什麼。
自動化並不等於調查
過去十年的 SOC 工具,核心都在自動化:SOAR 劇本(playbook)、關聯分析規則、腳本化的應對措施。它們確實有價值,因為能把人類定義的步驟執行得更快、更一致。但這裡有一個天花板:劇本只能執行別人已經做出的決定。一旦碰上真正全新的狀況,它要嘛升級給人類處理,要嘛就只是很快地做錯事。
所以瓶頸實際上從未真正移動過。工具在我們已經懂得如何規範的部分變得更快,但那個稀缺又昂貴的部分——調查與判斷一個模糊不清的案件——依然是人類的工作,依然緩慢,依然只能配給給整體工作量的一小部分。
AI 原生所改變的事
AI 原生、也就是代理式(Agentic)方法,正是瞄準這個瓶頸而來。它不執行固定的劇本,而是由專責代理人進行調查:蒐集相關證據、在脈絡中推理,並產出附帶依據的判斷。機器不再只是把步驟加速,而是在做過去需要人類才能做的那個部分。
在電子郵件領域,這正是 WhiteHat 的全部前提:把資深分析師會對一封可疑訊息執行的調查,持續套用到每一則訊息上,同時揭露依據,讓人在幾秒鐘內就能信任或推翻它。
值得牢記的區分:
- 自動化執行人類已經做出的決定。
- 自主調查做出判斷——並展示那個過程。
為什麼這是方向,而非一時的流行
施加壓力的一方是威脅本身。正如我們這一整個季度所寫的,攻擊正在向脈絡與意圖轉移——這恰恰是劇本與指標清單最無法處理的案例。要防禦由脈絡構成的攻擊,就必須推理脈絡;而要以每一則訊息的量級完成這件事,就需要能夠調查、而不只是執行的機器。
所以「AI 原生」不是塗在既有工具上的一層新漆,而是機器所承擔責任範圍的改變。未來幾年的 SOC,不會是又疊加了更多自動化的地方,而是調查本身——在判定環節保留人類參與的情況下——終於得以規模化的地方。
那就是 WhiteMail 為之而生的世界。感謝各位閱讀第一季的內容,報告仍將持續。
到分析主控台看看單一郵件的自主調查——所有代理人的依據,匯集成一個判定,只需幾秒鐘。