OpenAI Daybreak 落地首战：Sophos 安全事件响应从 38 分钟压缩到 89 秒

网络安全攻防正在进入「AI 对 AI」的时代。一方面，前沿大模型帮防守方更快发现和处置威胁；另一方面，开源权重模型也在降低攻击者的门槛。OpenAI 近期面向网络安全领域推出的 Daybreak 计划，正在把这条防线向前推一大步——首个大规模落地案例 Sophos 交出的成绩单相当惊人：安全事件平均响应时间从 38 分钟降至 89 秒，超过一半的工单已经由 AI 智能体端到端自动处理。

核心看点

• 38 分钟 → 89 秒：Sophos 使用 Daybreak 构建的调查智能体，把威胁调查与响应的平均耗时压缩了约 96%；
• 52% 工单全自动：目前约一半的安全运营（MDR）案件由 AI 智能体在预设边界内端到端完成；
• 覆盖 62.5 万组织：Sophos 每天从 500 多个第三方集成和自有产品中汇聚数万亿条事件，过滤后仍有 1000~2000 个案件需要全球 9 个安全运营中心人工处置；
• 人机协作三档模式：客户可选择「仅通知」「协同处理」「授权代执行」，破坏性操作始终保留人工把关。

Daybreak 智能体是怎么干活的？

这套系统的核心，是把 OpenAI 的前沿模型与 Sophos 自身积累了 40 年的威胁情报、响应手册和安全专家经验结合在一起。每一个进入队列的案件，会由「调查智能体」先行收集客户环境上下文、检测记录、入侵指标（IoC）和相关威胁情报；随后规划模型进入「计划—执行—复盘」循环：先制定调查方案，再逐步执行，最后生成摘要和建议的响应动作，供分析师审核。部分响应环节还可以由其他智能体直接代劳。

Sophos 首席技术官 John Peterson 表示，过去这套流程平均耗时约 38 分钟——这个成绩本身已经优于 96% 的专业安全运营中心。而在引入 Daybreak 智能体之后，使用智能体的案件平均响应时间降到了 89 秒，约一半的案件完全由智能体自动处理。

为什么是 52%，而不是 100%？

值得注意的细节是，Sophos 刻意没有让 AI 接管一切。它把 MDR 服务设计成三种运行模式：

• Notify（通知）：Sophos 完成调查并给出建议，客户自己执行；
• Collaborate（协同）：Sophos 与客户协商后再采取行动；
• Authorise（授权）：Sophos 获得明确授权后可直接代客户处置。

无论动作由人还是智能体完成，边界完全一致。Peterson 说得直白：「凡是我们不放心交给智能体处理的事，都会转交人类判断。」这也解释了为什么 AI 端到端解决的比例稳定在 52%——剩下的复杂、高风险案件，恰恰是人类专家价值最大的地方。

对行业的启示

这个案例的深层意义在于，它展示了一种 AI 落地安全运营的成熟范式：不是简单地「给分析师换个更聪明的工具」，而是把稀缺的安全专家经验规模化复制到每一个客户身上。对甲方企业而言，这意味着更快的调查和更一致的体验；对 Sophos 而言，增长可以靠堆算力而非堆人——在网络安全人才长期短缺的背景下，这一点尤为关键。

Peterson 给安全负责人的建议也很朴素：回到基本功——补丁管理、多因素认证、网络分区、分层防御。漏洞正以惊人的速度被发现和利用，「把基础做扎实，比以往任何时候都重要」。AI 智能体是放大器，但前提是底层防线本身不能是筛子。

随着 Daybreak 类计划的推进，安全运营的「人机配比」将被重新定义：AI 吃掉重复性调查，人类专注例外与决策。攻防两端都在加速，留给防守方的时间窗口只会越来越窄。