文章总结： 在AI大模型时代，SOAR不仅没有过时反而更加重要。完全依赖大模型进行安全运营存在算力消耗大、结果不确定性和时延挑战等问题。理想的AI与SOAR结合模式是：SOAR作为’快思考’处理已知威胁，AI作为’慢思考’处理复杂威胁，然后将AI的有效处置方法固化为SOAR剧本，形成从慢到快的进化闭环。这种共生关系既保留了AI的灵活性，又通过SOAR保障了结果的确定性与合规性。
综合评分： 87
文章分类： 安全运营,AI安全,解决方案,网络安全,安全建设
深度｜大模型时代，为什么我们依然坚定地选择SOAR？——基于“快思慢想”的安全运营哲学
原创
傅奎
雾帜智能
2025年11月20日 11:39
在人工智能大模型（LLM）技术狂飙突进的今天，安全圈内关于“技术代际更替”的讨论从未停止。我们听到了一种声音：“大模型来了，AI Agent（智能体）将接管一切，传统的编排自动化（SOAR）已经过时了。”
这种观点认为，未来的安全运营只需要一个对话框，AI就能自动理解一切、处置一切。
然而，作为深耕安全自动化领域的雾帜智能，基于对大量实战场景的复盘和对AI局限性的深刻理解，我们要给出一个反直觉但负责任的结论：在AI主导的安全运营（AI SOC）时代，SOAR不仅没有过时，反而比以往任何时候都更加不可或缺。
01. “全AI化”运营的隐形陷阱
让我们想象一个完全依赖大模型进行端到端处置的场景。当海量的安全告警涌入时，如果每一条告警都依赖大模型从头进行推理：
- 算力与Token的惊人消耗： 针对每一次常见的暴力破解或钓鱼邮件，都要消耗大量的Token进行重复推理，这在经济上是不可持续的。
- “非确定性”带来的灾难： 大模型本质上是概率模型。对于同一个威胁，AI今天的处置路径可能和昨天完全不同。但在网络安全这种严肃场景中，一个字符的偏差、一个逻辑的幻觉（Hallucination），可能导致核心业务阻断或数据误删。
- 时延挑战： 大模型的推理需要时间（Time-to-Think），而面对蠕虫勒索等极速攻击，我们需要的是毫秒级的“肌肉记忆”，而非慢条斯理的“逻辑分析”。
02. 理论重构：安全运营中的“快思慢想”
为什么SOAR依然重要？我们可以借用诺贝尔经济学奖得主丹尼尔·卡尼曼在《思考，快与慢》中提出的认知模型来解释。
此前，360安全专家潘剑锋在腾讯TVP安全会议上也分享过类似的精彩观点，将这一理论完美映射到了安全运营中：
-
系统1（快思考）： 是人类的直觉和条件反射，迅速、自动、几乎不消耗脑力。
-
对应技术：SOAR。 对于已知的、重复的、标准化的安全事件（如封禁恶意IP、隔离中毒主机），SOAR剧本就是企业的“快思考”。它是固化的专家经验，确定性100%、执行速度极快、成本极低。
-
系统2（慢思考）： 是人类的逻辑推理，处理复杂、新颖的问题，缓慢且消耗精力。
-
对应技术：AI大模型。 对于未知的、复杂的、上下文模糊的高级威胁，我们需要AI介入进行深度研判、推理决策。
潘剑锋《安全大模型发展路径洞察与实践》（https://vipread.com/library/topic/4026）
真正的下一代安全运营，是“快思考”与“慢思考”的完美协作。
03. AI与SOAR的共生形态
在雾帜智能的产品哲学中，AI不是用来取代SOAR的，而是用来驾驭SOAR的。
1. 剧本是AI的“确定性锚点”
为了降低大模型的幻觉风险，最有效的手段不是让AI直接操作底层API，而是让AI调用封装好的SOAR剧本。我们将复杂的处置流程固化为剧本，AI只需决策“调用哪个剧本”，而剧本内部的原子动作（Action）是严格受控及标准化的。
这既保留了AI的灵活性，又通过SOAR保障了结果的合规性与鲁棒性。
2. 从“慢”到“快”的进化闭环
一个理想的AI SOC流程应当是这样的：
- Day 1（慢思考）： 面对一个新的攻击手法，没有现成剧本。AI Agent通过推理，调用各种原子工具进行一步步试错和处置。
- Day 2（固化）： 我们复盘AI的处置过程，发现这是一套有效的逻辑，于是将其编写为新的SOAR剧本。
- Day 3（快思考）： 当同类攻击再次发生，系统直接匹配规则触发SOAR剧本，瞬间完成处置，无需AI再次进行昂贵的推理。
3. 技术落地：MCP与开源生态
为了实现这种连接，雾帜智能已经做好了准备。我们支持将SOAR中积累的数千个应用动作和剧本，转化为 MCP (Model Context Protocol) 标准工具（https://github.com/flagify-com/soar-mcp）。
这意味着，无论是雾帜自研的AI产品，还是用户企业内部私有化部署的大模型，都可以通过MCP协议，直接“读懂”并调用我们过去数年积累的自动化能力。我们甚至已在GitHub上开源了相关转换工具，致力于推动MCP工具生态的发展。
04. 结语
未来的安全运营，不会是AI的独角戏。
它需要大模型的大脑去理解不确定性的世界，也需要SOAR的手脚去执行确定性的任务。SOAR提供的标准化剧本、应用集成和流程控制，是AI能够安全落地的物理基础。
在追求技术跃迁的路上，雾帜智能始终保持清醒：拥抱AI的智慧，但绝不丢弃自动化的严谨。
📝 编者注
本文基于雾帜智能对AI自动化安全运营的深度实践，以及行业专家的前沿探索整理而成。如果您对SOAR与AI的结合感兴趣，欢迎在后台留言与我们探讨。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：雾帜智能 傅奎《深度｜大模型时代，为什么我们依然坚定地选择SOAR？——基于“快思慢想”的安全运营哲学》