為什麼安全營運需要更快的調查？
- 漏洞從被發現到遭利用的時間正在縮短。摩根士丹利安全應變與AI安全負責人Devon Rollins指出，攻擊者可以把成功手法複製到數千家機構，而防守方過去較難大規模共享經驗。
- AI可以加快證據收集、模式識別，並同時調查事件的多種可能解釋。防守方也希望分享可供人和機器使用的行為情報與偵測內容，讓使用不同安全系統的機構互相借鑑。
- 摩根士丹利研究團隊認為，能夠縮小攻防資訊差的安全營運自動化產品有望獲得採用，但這個市場競爭激烈。
AI時代為什麼還要補足基礎安全工作？
- 應對時間縮短後，企業仍要持續掌握有哪些資產、哪些資產對外暴露，以及權限如何分配，並確保發生事故後能夠隔離和復原。
- 最小權限原則正延伸到工作負載和代理；漏洞優先順序也要考慮其與重要系統的連接。對長期經營、背負技術債務的企業而言，修補所有威脅並不現實，因此預先授權的隔離措施尤其重要。
企業自建會擠掉安全軟體廠商嗎？
- 目前的做法是自建與採購結合：廠商提供感測器、模型和執行控制的能力，企業內部團隊則把工具接入自身資料、資產關係和決策流程。
- AI程式設計工具加快了內部開發，但Rollins強調企業自身知識的差異化價值，摩根士丹利研究團隊因此認為自建目前更可能補充採購。開放權重模型雖提供更大控制權，也讓企業承擔安全、評估、部署和維護責任。
哪些工具和能力更有價值？
- 安全資訊與事件管理系統（SIEM）仍有價值：它將整理後的安全資料與身分、行為、威脅和資產背景結合，幫助更快作出決策。但資料若充滿雜訊、有所缺失或不可信，AI也可能更快得出錯誤結論。
- 安全編排、自動化與應變工具（SOAR）仍適合重複、規則明確的流程；AI主導的自動化則服務於其他任務。新增資料的價值取決於能產生什麼洞察，而非收集量本身。
- 選擇供應商還要看介面品質和代理治理：證據來自哪裡、代理有何權限，以及行動能否停止或撤銷。摩根士丹利認為，能從資料中提取洞察的平台受益於這些需求。
自動化增加會帶來多少商業價值？
- Rollins表示，團隊愈來愈願意讓AI承擔實質調查並提出下一步建議，這得益於模型周邊的背景資訊、評估和權限控制改善。邊界清晰的行動更容易自動化；情況模糊或後果重大的決定仍由人判斷並負責。
- 他認為長期可能出現更精簡的工具組合和可衡量的營運效率，但這些收益仍有待實現。摩根士丹利研究團隊看好網路安全軟體支出，同時提出關鍵問題：工具總數減少後，效率提升能否轉化為客戶對供應商更大的採購承諾。