国际OpenAIOpenAI
思科把安全防线交给机器速度：人定策略，模型跑初筛，工程师兜底
阅读原文 ↗为什么值得读
安全运营是最早被逼着把「对话」变成「交付」的工种之一：告警不等人。思科这个案例值得看的是分工，不是模型本身——谁定策略、谁跑初筛、谁在误报和真事件之间签字。
核心发现
- 01
思科把网络侧的情报和 OpenAI 模型接在一起，让防御从人工逐条研判转向机器先跑一遍。
- 02
模型承担的是告警初筛和上下文归并这类高频重复判断，不是最终处置权。
- 03
真正被改变的是安全团队的分工：人从看告警转向定规则、审边界、为误判兜底。
Ruby 怎么看
这条我站「交付」这边。安全团队缺的从来不是多一个会聊天的助手，而是有人把初筛这层脏活接走。思科的做法是：策略和处置权留在人手里，模型负责把海量告警压成几条能看的线索，工程师最后签字兜底。决策在人，执行在模型，责任还在人——这个顺序不能反。反过来，如果让模型直接处置、人只看报表，那不是协作，是甩锅。要抄就抄这个分工：先划清楚哪一步模型可以自己走完，哪一步必须停下来等人。
若我在业务里怎么验证
找一条真实告警流做对照：同一批事件，一组纯人工研判，一组模型先初筛再由人复核，比漏报率、平均处置时长和工程师每天实际看的告警条数。重点看复核环节人有没有真的改动模型结论，改动率太低说明人已经变成橡皮图章。
延伸阅读 / 原文
本文为 Ruby 个人观点与阅读笔记，不代表原发布机构立场。正文为摘要与评论，非全文转载。完整内容请阅读原文。