检测调优
<1
利用七个月的遥测数据回放验证拟议检测变更所需的小时数
补丁建议
18
从提交漏洞概要到自动生成补丁建议所需的分钟数
误报分流
约 600
每季度节省的分析师工时
调查
约 1,100
每季度完成的调查工作折合的分析师工时
Block 是 Square、Cash App 和 Afterpay 背后的公司。其安全团队借助 OpenAI Defense Factory，让 AI 以人工团队无法企及的规模开展漏洞发现、检测和响应工作。借助 OpenAI Daybreak 等 AI 系统，Block 只需几小时就能完成过去需要数周的工作。
“AI 正在缩短从人的意图到实际行动之间的时间。曾有一段时间，人们认为攻击者占据优势，因为他们行动更快、更灵活。但有了 Daybreak 这样的系统，加上 OpenAI 工具的不断进步，防御者也能以 AI 应对 AI，跟上 AI 快速应用的步伐。”
从代码生成到安全运营，Block 安全团队一直致力于以负责任的方式将 AI 引入各项工作流程。首席信息安全官 James Nettesheim 表示：“这件事的核心，是多了一位能与你一起扩展工作规模的新队友。这不同于传统的自动化，不需要你一步一步设定流程。你可以通过提示词把一个针对特定需求、尚不明确的问题交给它，再一起逐步解决。”
审查软件缺陷或解析日志等工作，以往需要数天甚至数周才能完成。如今，团队完成这些工作所需的时间大幅缩短，同时仍由人工验证每一项结果。
以检测调优为例，每次调查都会保存原始查询证据，因此团队现在可以在不到一小时内，利用七个月的生产环境遥测数据，回放验证拟议的检测规则变更。过去，这意味着要手动重新查询数百起历史事件。由于太耗时，这项工作在实践中很少真正开展。
团队在为不同任务选择模型时，也更加讲究。他表示：“以前我们总是用最新的模型，但现在没必要了。为不同任务选择不同模型，是一个不断学习的过程。”Block 基于 Daybreak 构建了安全执行框架，帮助将任务分配给合适的模型，并设置了相应接口，供人工接管任务或让智能体相互验证工作成果。团队持续依据内部基准和实际表现评估这些系统，并在必要时调整方法；如果人工审核才是负责任的做法，就将工作转交人工审核。
自动化分流系统让团队能够更快地完成更多工作。Block 安全团队的分流吞吐量提升了 50%，情报收集和调查工作量增加了 50%，还获得了全新的自主威胁搜寻能力。Nettesheim 表示：“这套系统每季度完成的调查工作，相当于分析师约 1,100 小时的工作量，因为现在每一条告警涉及的所有要素都会得到全面、深入的调查。我们的系统处理每一条告警时，都像当天只有这一条告警一样认真。”
传统扫描工具只能孤立地标记单个漏洞，而借助 Daybreak，Block 安全团队可以深入得多。模型帮助团队推测可能的攻击模式，并将一系列攻击串联成完整的端到端入侵路径，从而揭示可能已存在多年的漏洞。
在一个案例中，单看某台笔记本电脑上的告警，似乎只是一个轻微的策略违规问题。但在交叉复核时，模型追踪了证据中一条不起眼的迹象，将其与 Block 的身份日志进行关联，发现了范围大得多的一系列问题。“一条常规终端告警，最终促成了对整场攻击活动的瓦解。没有任何单一工具能建立这样的关联。只有把两个产品的日志结合起来，才能发现这个信号。”James 表示。
在近期的一次红队演练中，Daybreak 也发挥了作用。模型只获得了关于某个内部系统的几条线索，就在大约两小时内串联出一条完整的攻击路径：SQL 注入、权限提升、建立立足点、凭证枚举，再到横向移动至其他系统。这通常需要人工红队测试人员花上好几天。在近期的红队演练中，从提交漏洞概要到自动生成补丁建议，用时仅为 18 分钟。
发现漏洞的价值，取决于能否将其修复。Nettesheim 介绍了团队处理每项发现的流程：先定位问题所在的代码并明确负责人，然后着手修复。“先提出补丁建议，确认漏洞是否可被利用，再验证是否已修复。整个过程中都有人参与指导，并负责部署代码变更。”
尽管智能体具备技术能力，却不了解组织的具体情况，也不了解以往决策背后的考量。这些背景信息和策略需要由人来提供，这也正是他的团队介入、开展人工审核的环节。Nettesheim 表示，随着 AI 的判断能力在实践中得到验证，“我们会逐步提高可接受的风险等级，将它用于更敏感的系统。”
利用七个月的遥测数据回放验证拟议的检测变更，用时不到一小时。
在近期的红队演练中，从提交漏洞概要到自动生成补丁建议，用时 18 分钟。
每季度节省约 600 小时原本用于误报分流的分析师工时。
每季度完成的调查工作，相当于分析师约 1,100 小时的工作量。
分流吞吐量提升 50%。
情报收集和调查工作量增加 50%。
仅在检测和响应环节，每季度就节省了约 600 小时原本用于误报分流的分析师工时。有了这些节省下来的时间，团队如今能够投入更多精力开展深入调查，并以负责任的方式构建更多自动化流程。
随着攻击节奏加快、AI 模型不断进步，Nettesheim 看到了从源头减少漏洞引入的机会。这将让安全团队少花时间打补丁，把更多精力投入预防性、战略性的工作。
他表示：“OpenAI 正把这些先进能力交到每个人手中，让优势转向防御者一方。过去，这类能力通常只掌握在知名科技公司和政府手中。但现在，包括关键基础设施运营方、学校和小企业在内，所有人都可以开始利用这项技术保护自己的网络。”
