文章总结： 本文探讨AI降低攻击重试成本后，SOC面临跨岗交接信息损耗的挑战，提出构建有状态SOC架构以沉淀运营记忆。核心方案是建立共享运营记忆，统一管理环境、证据、决策、控制与学习五类状态，并审慎引入AgenticAI。建议从统计重复上下文重建场景、记录观测缺口、明确处置负责人等朴素工作起步，以应对攻击循环加速的现状。
综合评分： 85
文章分类： 安全运营,威胁情报,安全建设,解决方案
SOC告别重复排查，构建有状态能力沉淀运营记忆
FreeBuf
2026年9月28日 18:00
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
安全领域负责人一直在争论AI是否会催生全新类别的网络攻击。但更近在眼前的变化早已悄然显现：AI大幅降低了攻击失败后的重试成本。
这类场景已经十分常见：攻击者拿到一个低权限云账号后，第一次提权尝试失败。放在过去，卡壳后攻击者要花数小时查阅文档、检查权限、调试脚本，很多人直接就卡在这一步。现在有大模型接入后，模型会直接解释报错原因、修复脚本，几分钟内就能测试新的枚举路径。
这其中没有任何一步是新出现的攻击能力，但组合在一起后，大幅压缩了入侵过程中枯燥的中间环节——也就是从攻击意图到最终结果之间的研究、排错环节——所需的时间、技能门槛和成本。
Part01
AI压缩攻击循环成本
公开威胁情报记录清晰展现了这一发展轨迹。2025年初，Google威胁情报组（GTIG）发现有国家背景攻击组织将生成式AI作为效率工具，用于翻译、辅助写脚本、排错、信息收集等工作。到2025年末，同一团队发布报告称，已发现执行过程中会调用大模型的恶意软件样本，非法AI工具的地下市场也日趋成熟。
同期Anthropic披露，其捣毁了一个几乎全流程依赖AI的敲诈团伙，从侦察、凭据窃取到设定勒索金额，每个环节都用到了AI。2026年5月，GTIG发布报告称，网络犯罪团伙在一款开源管理工具中发现了双因素认证绕过漏洞，并开发出可实际利用的漏洞利用程序；基于这些利用程序的结构和内容，GTIG高度确信AI模型同时参与了漏洞发现和利用代码开发的全过程。
GTIG联合受影响厂商完成了漏洞披露，阻断了相关攻击活动，其评估认为，这次提前发现可能阻止了该漏洞利用程序被大规模滥用。需要明确的是，“评估认为攻击得到AI辅助”“攻击处于策划阶段”，和“已确认攻击在野利用”是完全不同的结论，但这类情报一旦开始传播，其中的差异往往会被忽略。
攻击归因难度很高，AI辅助攻击的实际流行率尚不明确，这些报告也不是全球攻击活动的全面统计。真正重要的是发展方向：AI已经不再是攻击者手边的辅助工具，而是直接嵌入了攻击工作流内部。
AI服务商提供的安全护栏在其中发挥了一定作用。安全分类器和滥用阻断机制提高了恶意使用的成本，上述阻断案例也证明这类措施确实有效。但这类护栏始终位于企业边界之外，攻击者可以通过调整提问、迁移到开放权重模型、拆分任务、封装工具等方式绕过限制。
这类阻碍只能减缓恶意使用的速度，无法构成真正的安全边界。如果企业将服务商的内容策略当成自身的安全边界，本质上是用自我安慰替代了实际防御。
教科书通常将攻击生命周期画成线性流程：侦察、获取访问、提权、造成影响。但实际攻击中，攻击者是在不断循环：观察环境、形成猜测、尝试操作、读取返回结果、调整猜测。AI压缩了这些步骤之间的时间间隔：新手攻击者能坚持更长时间不被卡住，资深攻击者每天能完成更多次攻击尝试。
防御流程本应采用同样的循环模式：触发告警信号、收集上下文、形成假设、验证影响范围、执行处置动作、将结果反馈到检测规则中。但在实际场景中，告警队列和岗位交接会在每个节点打断这个循环：告警长时间无人认领，身份数据在另一个独立控制台中，遥测缺口被积压成待办项，误报关闭的原因只存在于工单里，永远到不了规则维护人员手中。
攻击者每次尝试后，环境几秒内就会返回结果；而防御方的响应，要等到工单被人认领后才会开始。平均确认时间和平均修复时间掩盖了这一问题：告警可能在几分钟内就被确认，但后续要花数小时重建上下文，这段重建时间就是决策延迟，几乎没有SOC会统计这一指标。
Part02
跨岗交接存信息损耗
SOC的工作通常被划分为五个职能：威胁情报、威胁狩猎、检测工程、事件调查、处置响应。这是很实用的分析框架，但不是通用的组织架构。在小型团队中，一个人可能同时承担多个职能；在大型企业中，这些职能分散在SOC、身份、终端、云、业务团队中，甚至可能由MDR服务商负责调查工作，但没有采取遏制措施的权限。
问题往往不出在职能本身，而出在职能之间的交接环节。威胁情报团队清楚某种攻击技术的危害逻辑，威胁狩猎团队知道这种技术会在哪些位置暴露痕迹，检测工程团队了解规则中未明说的前提假设，调查人员掌握得出结论的完整证据链，处置团队知道哪些操作会影响业务正常运行。每次交接都会把这些知识压缩成指标、告警或工单，而这个压缩过程必然存在信息损耗。
最近发布的一个系列三篇文章将这种现象称为“损耗式交接”，其中列出了交接过程中必须完整传递的五类信息：一是实体身份，即事件核心对应的真实用户、设备、工作负载或业务流程；二是证据与溯源，即得出结论的观测结果、数据来源及时间戳；三是假设与置信度，即当前主流解释、仍未排除的其他可能性、选择当前结论的置信水平。
四是遥测完备性，即现有数据能够支撑哪些结论、无法支撑哪些结论、哪些数据源缺失导致置信度受限；五是决策权限与约束，即谁有执行处置的权限、需要经过哪些审批、处置动作可能影响哪些业务。如果丢失了实体身份信息，两个团队可能会用不同名称调查同一个用户；如果丢失了决策权限信息，正确的处置建议会一直压在队列里，没有溯源信息的证据毫无价值。
上述系列文章中的一个实际案例，直观展现了信息损耗的完整过程。案例中，一名财务员工从该账号从未使用过的托管服务商IP登录，MFA验证通过。登录后10分钟内，账号新建了一条将邮件转发到外部地址的邮箱规则，同时开始从财务部门SharePoint站点下载文件，这一行为模式与该账号的历史行为完全不符。单个事件无法证明账号已被攻陷，但整个行为序列值得重点关注。
威胁情报团队一直在追踪一波专门窃取认证会话的中间人钓鱼攻击，这也是为什么仅凭MFA验证通过无法排除账号风险。但这些上下文最终只被压缩成一份附带指标和技术ID的简短通告传递下去，完整的行为序列、以及该攻击技术适用的本地环境条件都被遗漏了。
威胁狩猎人员将通告转化为查询语句，发现了两个通告完全没有提及的问题：设备合规数据只覆盖了部分环境，SharePoint审计日志存在数小时的延迟。狩猎团队最终只传递了一份可疑账号清单，数据覆盖范围的局限性说明被遗漏了。
检测工程团队编写了检测逻辑：只有当陌生网络登录、MFA验证通过、新建转发规则三个行为在短时间内同时出现时才触发告警。他们很清楚，对于部分用户群体，这条规则无法获取设备状态数据，但最终传递出去的只有告警级别和描述字段，规则的前提假设、预期的误报模式都被遗漏了。
告警传到值班分析师手中时，只显示了登录记录和邮箱规则，完全没有说明两者为什么被关联到一起。分析师只能在身份系统、邮件安全系统、SIEM、资产清单四个控制台之间切换，重建事件全貌，最终判断认证会话被窃取的可能性更高，但因为涉事设备不受管控，无法核查终端情况，最终给出禁用账号的建议后结案，其他可能的解释、置信水平、终端核查缺口都被遗漏了。
工单传到身份团队，要求禁用该账号。身份团队知道SOC完全不了解的情况：该账号正在处理薪资发放，直接禁用会打断时效性极强的业务流程。这并不意味着财务部门能否定遏制决策，而是说明遏制决策和业务连续性决策必须由同时掌握两方面信息的人做出，不同处置动作的风险、权限、依赖条件都需要明确。
每个职能团队都完成了自己的工作，但系统迫使每个团队都从零开始重建事件全貌，而且给唯一掌握业务上下文的团队只传递了一行任务要求，而非需要权衡的决策事项。
当企业意识到这种信息损耗问题时，第一反应往往是发布招聘启事，寻找精通身份、终端、云、邮件、恶意软件分析、检测逻辑、还能和高管顺畅沟通的“独角兽分析师”安排到告警队列。这种人才策略本质上只是弥补系统状态缺失的权宜之计。
资深分析师之所以能高效工作，靠的是仪表盘不会显示的隐性知识：哪个日志源的数据不可靠，哪个服务账号绝对不能碰，哪个应用负责人凌晨两点也会接电话。企业真正的事件响应操作手册都存在这些人的脑子里，人一走，这些知识也就没了。分析师的职业倦怠很大程度上来源于此：每次都要重新推导组织早就掌握、却没有留存下来的知识。
代价最高的信息损耗发生在事件结案之后。假设最终证明事件是误报：员工确实在出差，转发规则也经过了审批，系统里也只会留存一个结案原因，规则维护人员拿不到推翻结论的证据，遥测负责人不知道设备覆盖存在缺口，结论留了下来，经验教训却消失了。这就是为什么高误报规则会几年都得不到优化，每个新分析师值班时都会重新发现同样的盲点。
Part03
构建有状态SOC架构
解决这个问题需要从架构层面入手，核心方向是将SOC转型为有状态架构。SOC并非没有记忆，通常会留存证据和案件历史长达数年，但在交接过程中，围绕证据的推理过程、证据本身的不确定性、以及处置权限的约束往往会丢失，被埋没在产生它们的系统中，无法为后续决策提供支撑。
解决方案是构建共享运营记忆，让所有工作流都能读写五类状态：一是环境状态，即现有身份、设备、工作负载、业务服务的信息、关联关系、负责人，以及其中哪些属于高权限、暴露面、或不受管控的资产；二是证据状态，即每一项观测结果、来源、时间，以及可回溯到原始事件的路径。
三是决策状态，即当前的假设、已权衡的其他可能性、支持和反对各假设的证据、以及获取哪些新证据会改变当前结论；四是控制状态，即可选的处置动作、所需审批、受影响系统的负责人、遏制前必须留存的所有信息；五是学习状态，即分析师做出的修正、被证伪的假设、修复措施是否有效、以及后续需要在威胁狩猎、检测规则、响应剧本中做出的调整。
基于这一思路构建的共享模型，可以让SIEM、EDR、身份平台、案件管理系统共同支撑同一个决策，不需要替换任何现有工具。其中最难做到的一点，是将“未知”视为合理的结论：如果设备不受管控导致缺少终端遥测数据，不能用“未观测到恶意进程活动”这种技术正确但误导运营的表述掩盖缺口，而要如实记录终端无法核查的情况，降低对应结论的置信度，将缺口推送给设备管理负责人跟进。
Agentic AI是最后才纳入这一架构的组件，这是刻意安排的顺序：如果在无状态SOC上直接加装Agent，只会让本就有缺陷的运营模式错得更快。基于共享记忆运行的有边界工作流则完全不同，各环节都会同步传递已覆盖范围、前提假设、置信度等完整上下文，而非只传递压缩后的结论或任务。
在有状态架构中，权限与置信度必须相互独立。框架将所有动作分为四种模式：仅观察并收集更多证据；将建议动作及理由提交给有对应权限的人员决策；经明确审批后执行；仅在政策要求、置信度、实体类型、潜在影响条件全部满足时自动执行。动作模式存储在控制状态中，有版本记录可审计，无论Agent给出的结论听起来多么笃定，都不能直接获得执行权限。
学习环节也需要遵循同样的审慎原则。单个分析师给出的单个误报结论，不足以作为修改生产环境检测逻辑的充分证据。有状态系统会记录修正结论背后的证据，汇总相似案例，起草修改方案，再将方案提交给规则负责人审核，这一审核步骤是正常学习和系统自我腐化的核心区别。
Part04
有状态体系沉淀运营记忆
在有状态SOC架构下，分析师接手案件时，证据拼接的工作已经自动完成。分析师的首要工作不再是跨控制台重建上下文，而是对结构化的案件信息提出质疑：假设是否逻辑自洽、是否遗漏了其他可能的解释、建议的处置动作与证据支撑的严重程度是否匹配、业务上下文会对决策产生哪些影响。
SOC的衡量指标也需要向同样的方向调整。统计Agent完成的任务数只是让软件看起来好看，四个问题更能衡量实际效果：分析师打开案件时是否已经包含完整上下文、案件是否记录了无法观测的缺口、修正后的结论是否能在仍有价值时传递给规则负责人、所有自动执行的动作是否符合政策要求且留有审计轨迹。
美国联邦最新修订的指引也指向同一方向：NIST在SP 800-61r3中更新的事件响应建议，将响应视为组织整体风险管理的一部分，而非SOC内部独立的活动。攻击循环的迭代速度正在不断加快，等待完全自主的防御方案落地，无异于主动拱手让出防御主动权。
有状态SOC的建设起点都是很朴素的工作：统计哪些场景下需要人工反复重建相同的上下文，在调查结论旁同步记录调查过程中无法观测的缺口，在和平时期明确每个动作的负责人和审批人，将调查获得的经验反馈到威胁狩猎和检测规则中。
回到之前的财务员工账号案例，无论哪种SOC最终都会暂停涉事账号。在无状态SOC中，经验教训随着结案原因一起消失，薪资发放的问题会在处置后才暴露出来。在有状态SOC中，执行处置的人员能看到调查环节无法覆盖的信息，覆盖缺口有明确的负责人跟进，下一个分析师接手的是可复用的运营记忆，而不是一个空的告警队列。
参考来源：
The SOC Doesn’t Need to Start Over with Every Alert
https://thehackernews.com/2026/09/the-soc-doesnt-need-to-start-over-with.html
#
推荐阅读
#
电报讨论
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：FreeBuf 《SOC告别重复排查，构建有状态能力沉淀运营记忆》