距

《在大模型实践旅途中摸了下上帝的脚指头》

DIMU，公众号：AI简化安全在大模型实践旅途中摸了下上帝的脚指头

一文发布近一年，2024年笔者继续全情投入在大模型＋安全上，深度参与了一些应用实践，包括安全大模型首次大规模应用在国家级攻防演习、部分项目的POC直到项目落地，也推动了一些场景安全大模型应用从0到3的孵化上市。这一年也走遍了大半个中国，见了上百个客户，有一些新的认知和感悟，简以记之，形成此文。

一、市场认知与需求变化

        相比于2023年，乙方对大模型+网络安全这个事情都有了更加成熟的认知，且出现了明显的分层，体现在：

1、头部大客户在安全大模型的投入战略上需要跟随整个公司对AI大模型投入决策，通常是业务大模型建设先行，安全大模型在落地需求上自主可控大于效果表现。

2、中等规模客户在部分场景上会逐步开展实践，但也算本着摸着石头过河的心态，在投资上比较谨慎，在认知上明白不可能从0到1开始搭建，非常看重投入产出比。

3、广泛的合规驱动类客户，接受在安全建设上有大模型能力在，但是受限自生规模和安全预算，接受SAAS化能力接入。因投资预算低，对效果的期待基本是锦上添花。

除此之外，受政策和技术氛围驱动，头部和中等客户均会出现创新需求。

二、技术认可的变化

        相比 2023年，我们在进行安全大模型技术认可的基本思路就是先让用户看到可自然语言对话的产品，然后讲解一些应用场景和效果，到2024辅助对话的技术认可方式基本不再或很少演示，一方面客户在不断成长，另一方面厂商的解决方案也逐步进入深水区-去解决一些真正解决用户日常运营中的痛点问题，比如高质量的告警降噪、透明式的告警研判、自动化的响应处置、高级对抗检测等等。

        虽然大模型在告警降噪、威胁检出、智能处置这些方面确实取得了一些成绩，但因为安全目标没有出现本质变化，比如在安全运营当中，基于SIME的大数据分析、基于XDR的场景化分析等都是未来提高安全运营的效率和质量。正因为不同技术的目标一致，所以新技术出现，在效果和范式还没有成为业界共识的时候，乙方会看重投入产出比，而这在当前大环境都在降本增效的情况下尤为突出。

        所以过去一年，我们在如何证明大模型这项技术在一些安全场景上有更大价值，比如安全运营场景、高混淆对抗检测场景，通过不断的与用户碰撞，同时也受益于同行的共同参与，逐步沉淀了一些体现提质增效的指标并成功应用。

三、未来发展与建议

        总的来说，大模型技术还在快速发展，从基础模型的选择、到安全垂直模型的打造、再到场景化安全智能体的开发与应用，每一个环节都在不断变化。展望一下未来，笔者认为：

• 产品形态层面

1. 安全agent+RAG会成为主要落地方式。
2. 多安全agent会走向统一管理，并适配不同底层算力。

• 场景层面

1. 安全运营提质增效依然是场景落地的首选，但是需要解决好与客户当前建设的关系，关系形式包括服务之、赋能之和淘汰替换之。
2. 实时流量场景下的高级威胁检测短期内受限于成本和价值认知的原因，以能力引擎的形态进入市，推广的效率更高。
3. 情报生产会逐步成为安全运营场景的需求，也是体现安全大模型产品竞争力的关键，这项能力对于升级甲方安全运营效果具备关键左右（参考安全卡尺模型）
4. 数据识别与风险发现成为数据安全领域大模型投入的关键价值点。
5. 一些相对独立的赛道会带来更加直接的安全效果表现，比如钓鱼邮件检测。

• 乙方投入上

1. 逐步沉淀自身的安全大模型底座层，并持续迭代。
2. 在组织架构上，需要有决心做出战略变革，抛开历史包袱，轻松敏捷上阵。
3. 注重大模型人才的培养，产研和市场都不能落后。
4. 投入收益需要有预期，尊重客户投资规律。
5. 单项能力的突出效果难以驱动用户买单，要做好技术与产品面向用户使用的转化与适配。

• 甲方选择上

1. 0到1打造（基于基模开展预训练、微调到推理应用），需要做谨慎决策，建议选择部分商业订阅+部分共创的形式。
2. 认真、实际的审视当前建设下的效果与成本，在引入安全大模型上，有场景优先级上的选择。
3. 开始积累数据和培养懂大模型的人才，为后续引入大模型做客制化调优做准备。

       斗转星移，辞旧迎新，下一个春天就要到来，安全大模型的春天何时到来