螞蟻集團(tuán)劉焱：網(wǎng)絡(luò)安全垂域大模型在安全運(yùn)營(yíng)場(chǎng)景下的數(shù)字分身應(yīng)用

1月29-30日，由四川警察學(xué)院、公安部網(wǎng)絡(luò)安全等級(jí)保護(hù)中心主辦的2026年網(wǎng)絡(luò)安全等級(jí)保護(hù)技術(shù)學(xué)術(shù)交流活動(dòng)在成都舉行。活動(dòng)以“科技賦能·筑基強(qiáng)網(wǎng)”為主題，多名來(lái)自國(guó)內(nèi)網(wǎng)絡(luò)安全領(lǐng)域的權(quán)威技術(shù)、法律專家分享了新技術(shù)及熱點(diǎn)研究成果。螞蟻集團(tuán)天宸實(shí)驗(yàn)室主任劉焱出席本次交流活動(dòng)，并做《網(wǎng)絡(luò)安全垂域大模型在安全運(yùn)營(yíng)場(chǎng)景下的數(shù)字分身應(yīng)用》主題分享。

劉焱指出，高度復(fù)雜業(yè)務(wù)使安全保障任務(wù)面臨巨大挑戰(zhàn)，如

數(shù)據(jù)內(nèi)視能力不足：檢測(cè)系統(tǒng)過(guò)度依賴單一數(shù)據(jù)源，缺乏對(duì)應(yīng)用層、操作系統(tǒng)等多維數(shù)據(jù)的全面監(jiān)控；

攻擊檢測(cè)能力不足：攻擊行為復(fù)雜多變、內(nèi)部體系架構(gòu)繁雜，大量用于風(fēng)險(xiǎn)研判的運(yùn)行時(shí)上下文缺失，導(dǎo)致研判結(jié)論偏差，出現(xiàn)告警風(fēng)暴；

響應(yīng)聯(lián)動(dòng)不足：AI驅(qū)動(dòng)的自動(dòng)化攻擊成本降低，并且以多種手段隱藏身份，防御方自動(dòng)化分析難度高，全鏈路回溯挑戰(zhàn)巨大，人均響應(yīng)能力與攻擊規(guī)模嚴(yán)重失衡。

劉焱表示，真正制約大模型落地效果的并非模型本身能力，而是數(shù)據(jù)的質(zhì)量與深度?，F(xiàn)有安全建設(shè)中存在四大數(shù)據(jù)源“深度”問(wèn)題：數(shù)據(jù)難以還原事實(shí)本源、采集范圍受限于現(xiàn)有技術(shù)手段、觀測(cè)時(shí)機(jī)窗口易缺失、海量數(shù)據(jù)無(wú)法持久儲(chǔ)存。

對(duì)此，螞蟻集團(tuán)首創(chuàng)了安全平行切面體系，該體系基于AOP（面向切面編程）思想，實(shí)現(xiàn)非侵入式數(shù)據(jù)采集與邏輯注入，在不修改應(yīng)用源碼的情況下給程序動(dòng)態(tài)添加或修改功能，并通過(guò)切面平行艙保證其有序運(yùn)行，即在不影響業(yè)務(wù)運(yùn)行的情況下獲取深層執(zhí)行數(shù)據(jù)，提供精準(zhǔn)的安全內(nèi)視與干預(yù)服務(wù)。螞蟻集團(tuán)圍繞安全平行切面打造了企業(yè)安全建設(shè)的基礎(chǔ)設(shè)施，實(shí)現(xiàn)了威脅對(duì)抗能力與效率的跨越式提升。

在數(shù)據(jù)采集層面，應(yīng)用安全平行切面后，可以實(shí)現(xiàn)“日志自由”。例如，在JAVA服務(wù)器中檢測(cè)內(nèi)存馬時(shí)，按照傳統(tǒng)常見的方法需要在敏感節(jié)點(diǎn)打日志、修改代碼，如使用的是招聘等第三方系統(tǒng)，操作則會(huì)更加復(fù)雜。但應(yīng)用切面技術(shù)后，僅僅需要關(guān)注三個(gè)關(guān)鍵函數(shù)，對(duì)讀取后的數(shù)據(jù)進(jìn)行研判即可，全過(guò)程無(wú)需升級(jí)軟件本身。

劉焱提到，大模型并非萬(wàn)能，實(shí)踐發(fā)現(xiàn)其用于威脅檢測(cè)細(xì)分領(lǐng)域時(shí)存在局限性，尤其是在“信息不足”時(shí)，其嚴(yán)重的幻覺(jué)問(wèn)題會(huì)導(dǎo)致其研判錯(cuò)誤。螞蟻集團(tuán)提出的DKCF大模型推理可信應(yīng)用框架，是對(duì)大模型專業(yè)應(yīng)用可信問(wèn)題解決之道的探索，其中D指的是充足的數(shù)據(jù)供給；K指的是專業(yè)知識(shí)工程，包括了行業(yè)數(shù)據(jù)集和專業(yè)知識(shí)圖譜對(duì)齊；C指的是協(xié)同規(guī)劃、編排，把高難度問(wèn)題拆解為多個(gè)簡(jiǎn)單問(wèn)題，人類專家與AI專家融合演進(jìn)；F指的是高效核驗(yàn)、反饋，并根據(jù)反饋內(nèi)容不斷迭代。

在威脅檢測(cè)領(lǐng)域中，切面與DKCF結(jié)合，可以實(shí)現(xiàn)全域聯(lián)動(dòng)獲取數(shù)據(jù)，能精準(zhǔn)感知威脅、定性事件、智能定損。

在數(shù)據(jù)層面，安全平行切面技術(shù)的信息采集解耦，提供了“數(shù)據(jù)和日志自由”；

在知識(shí)層面，利用大模型對(duì)多維實(shí)時(shí)行為序列抽取，構(gòu)建主客憑據(jù)關(guān)聯(lián)以及行為依賴生成行為知識(shí)圖譜，結(jié)合ATT&CK技戰(zhàn)術(shù)領(lǐng)域知識(shí)庫(kù)，提供分析依據(jù)；

在協(xié)同層面，基于用戶行為鏈構(gòu)建行為序列校驗(yàn)引擎，實(shí)現(xiàn)了檢測(cè)智能體調(diào)用鏈，融合專家智能和機(jī)器智能；在核驗(yàn)、反饋層面，殘差分析、反饋彌補(bǔ)了各層次（策略、知識(shí)、能力等）不足，解決了誤報(bào)多、未知威脅發(fā)現(xiàn)能力弱、可解釋性差的痛點(diǎn)。

實(shí)踐落地中，大模型威脅檢測(cè)風(fēng)險(xiǎn)研判的“判黑”準(zhǔn)確率超85%，召回率超95%，響應(yīng)時(shí)間從30分鐘以上縮短至分鐘級(jí)。

演講的最后，劉焱表示，大模型時(shí)代，工作范式發(fā)生了變化，從人工操作轉(zhuǎn)變?yōu)槿藱C(jī)協(xié)同，目前階段的人機(jī)協(xié)同從以人為主過(guò)渡到以AI為主，人工參與解決AI遇到的難題。未來(lái)，對(duì)于安全運(yùn)營(yíng)的愿景是讓AI成為工作人員的數(shù)字分身，去承擔(dān)枯燥、重復(fù)的工作，安全團(tuán)隊(duì)則作為“指揮官”，聚焦更高價(jià)值的安全研究、 “攻防邊界”探索，推動(dòng)網(wǎng)絡(luò)安全更好的發(fā)展。