深度｜大模型时代，为什么我们依然坚定地选择SOAR？——基于快思慢想的安全运营哲学

在人工智能大模型（LLM）技术狂飙突进的今天，安全圈内关于“技术代际更替”的讨论从未停止。我们听到了一种声音：“大模型来了，AI Agent（智能体）将接管一切，传统的编排自动化（SOAR）已经过时了。”

这种观点认为，未来的安全运营只需要一个对话框，AI就能自动理解一切、处置一切。

然而，作为深耕安全自动化领域的雾帜智能，基于对大量实战场景的复盘和对AI局限性的深刻理解，我们要给出一个反直觉但负责任的结论：在AI主导的安全运营（AI SOC）时代，SOAR不仅没有过时，反而比以往任何时候都更加不可或缺。

01. “全AI化”运营的隐形陷阱

让我们想象一个完全依赖大模型进行端到端处置的场景。当海量的安全告警涌入时，如果每一条告警都依赖大模型从头进行推理：

1. 算力与Token的惊人消耗： 针对每一次常见的暴力破解或钓鱼邮件，都要消耗大量的Token进行重复推理，这在经济上是不可持续的。
2. “非确定性”带来的灾难： 大模型本质上是概率模型。对于同一个威胁，AI今天的处置路径可能和昨天完全不同。但在网络安全这种严肃场景中，一个字符的偏差、一个逻辑的幻觉（Hallucination），可能导致核心业务阻断或数据误删。
3. 时延挑战： 大模型的推理需要时间（Time-to-Think），而面对蠕虫勒索等极速攻击，我们需要的是毫秒级的“肌肉记忆”，而非慢条斯理的“逻辑分析”。

02. 理论重构：安全运营中的“快思慢想”

为什么SOAR依然重要？我们可以借用诺贝尔经济学奖得主丹尼尔·卡尼曼在《思考，快与慢》中提出的认知模型来解释。

此前，360安全专家潘剑锋在腾讯TVP安全会议上也分享过类似的精彩观点，将这一理论完美映射到了安全运营中：

• 系统1（快思考）： 是人类的直觉和条件反射，迅速、自动、几乎不消耗脑力。
• 对应技术：SOAR。 对于已知的、重复的、标准化的安全事件（如封禁恶意IP、隔离中毒主机），SOAR剧本就是企业的“快思考”。它是固化的专家经验，确定性100%、执行速度极快、成本极低。
• 系统2（慢思考）： 是人类的逻辑推理，处理复杂、新颖的问题，缓慢且消耗精力。
• 对应技术：AI大模型。 对于未知的、复杂的、上下文模糊的高级威胁，我们需要AI介入进行深度研判、推理决策。

真正的下一代安全运营，是“快思考”与“慢思考”的完美协作。

03. AI与SOAR的共生形态

在雾帜智能的产品哲学中，AI不是用来取代SOAR的，而是用来驾驭SOAR的。

1. 剧本是AI的“确定性锚点”

为了降低大模型的幻觉风险，最有效的手段不是让AI直接操作底层API，而是让AI调用封装好的SOAR剧本。我们将复杂的处置流程固化为剧本，AI只需决策“调用哪个剧本”，而剧本内部的原子动作（Action）是严格受控及标准化的。

这既保留了AI的灵活性，又通过SOAR保障了结果的合规性与鲁棒性。

2. 从“慢”到“快”的进化闭环

一个理想的AI SOC流程应当是这样的：

• Day 1（慢思考）： 面对一个新的攻击手法，没有现成剧本。AI Agent通过推理，调用各种原子工具进行一步步试错和处置。
• Day 2（固化）： 我们复盘AI的处置过程，发现这是一套有效的逻辑，于是将其编写为新的SOAR剧本。
• Day 3（快思考）： 当同类攻击再次发生，系统直接匹配规则触发SOAR剧本，瞬间完成处置，无需AI再次进行昂贵的推理。

3. 技术落地：MCP与开源生态

为了实现这种连接，雾帜智能已经做好了准备。我们支持将SOAR中积累的数千个应用动作和剧本，转化为 MCP (Model Context Protocol) 标准工具（https://github.com/flagify-com/soar-mcp）。

这意味着，无论是雾帜自研的AI产品，还是用户企业内部私有化部署的大模型，都可以通过MCP协议，直接“读懂”并调用我们过去数年积累的自动化能力。我们甚至已在GitHub上开源了相关转换工具，致力于推动MCP工具生态的发展。

04. 结语

未来的安全运营，不会是AI的独角戏。

它需要大模型的大脑去理解不确定性的世界，也需要SOAR的手脚去执行确定性的任务。SOAR提供的标准化剧本、应用集成和流程控制，是AI能够安全落地的物理基础。

在追求技术跃迁的路上，雾帜智能始终保持清醒：拥抱AI的智慧，但绝不丢弃自动化的严谨。

📝 编者注

本文基于雾帜智能对AI自动化安全运营的深度实践，以及行业专家的前沿探索整理而成。如果您对SOAR与AI的结合感兴趣，欢迎在后台留言与我们探讨。