为什么安全运营需要更快的调查？
- 漏洞从被发现到遭利用的时间正在缩短。摩根士丹利安全响应与AI安全负责人Devon Rollins指出，攻击者可以把成功手法复制到数千家机构，而防守方过去较难大规模共享经验。
- AI可以加快证据收集、模式识别，并同时调查事件的多种可能解释。防守方也希望分享可供人和机器使用的行为情报与检测内容，让使用不同安全系统的机构互相借鉴。
- 摩根士丹利研究团队认为，能够缩小攻防信息差的安全运营自动化产品有望获得采用，但这一市场竞争激烈。
AI时代为什么还要补基础安全功课？
- 应对时间缩短后，企业仍要持续掌握有哪些资产、哪些资产暴露在外，以及权限如何分配，并确保发生事故后能够隔离和恢复。
- 最小权限原则正延伸到工作负载和智能体；漏洞优先级也要考虑其与重要系统的连接。对长期经营、背负技术债务的企业而言，修补所有威胁并不现实，因此预先授权的隔离措施尤其重要。
企业自建会挤掉安全软件厂商吗？
- 目前的做法是自建与采购结合：厂商提供传感器、模型和执行控制的能力，企业内部团队则把工具接入自身数据、资产关系和决策流程。
- AI编程工具加快了内部开发，但Rollins强调企业自身知识的差异化价值，摩根士丹利研究团队因此认为自建目前更可能补充采购。开放权重模型虽提供更大控制权，也让企业承担安全、评估、部署和维护责任。
哪些工具和能力更有价值？
- 安全信息与事件管理系统（SIEM）仍有价值：它将整理后的安全数据与身份、行为、威胁和资产背景结合，帮助更快作出决策。但数据若充满噪声、缺失或不可信，AI也可能更快得出错误结论。
- 安全编排、自动化与响应工具（SOAR）仍适合重复、规则明确的流程；AI主导的自动化则服务于其他任务。新增数据的价值取决于能产生什么洞察，而非采集量本身。
- 选供应商还要看接口质量和智能体治理：证据来自哪里、智能体有何权限，以及行动能否停止或撤销。摩根士丹利认为，能从数据中提取洞察的平台受益于这些需求。
自动化增多会带来多少商业价值？
- Rollins表示，团队越来越愿意让AI承担实质性调查并提出下一步建议，这得益于模型周围的背景信息、评估和权限控制改善。边界清晰的行动更容易自动化；情况模糊或后果重大的决定仍由人判断并负责。
- 他认为长期可能出现更精简的工具组合和可衡量的运营效率，但这些收益仍在前景之中。摩根士丹利研究团队看好网络安全软件支出，同时提出关键问题：工具总数减少后，效率提升能否转化为客户对供应商更大的采购承诺。