2026-11-02 14:57:08 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI 进威胁情报 · 谁负责问，谁负责答

原创

Gaojin
Gaojin

网络与信息安全参考

2026年11月2日 08:00
山东

去阅读

CHANNEL WEBINAR2026.10.21

AI 进威胁情报 · 谁负责问，谁负责答

卡巴斯基全球内部在线研讨会实录：三层产品矩阵、四类用例、三种 AI 用法，以及一次完整的自动化调查演示。

31 SLIDES

模型会犯错，但证据不会。

威胁情报AI 落地

EDITOR'S NOTE

阅读约 8 分钟

2026 年 10 月 21 日，卡巴斯基进行了一场闭门网络研讨会。主讲人是威胁情报业务发展经理 Oleg Shaburov，他给这 31 页幻灯片起的标题带点挑衅意味——AI in Kaspersky TI: to use, or not to use? 用，还是不用。整场讲完，答案既不是「用」也不是「不用」，而是「分工」。

PART

情报到底在卖什么

WHAT YOU ARE ACTUALLY BUYING

卡巴斯基把威胁情报拆成三层：战略层回答「谁在打我们、为什么打」，运营层回答「这起事件是谁干的」，战术层回答「现在该拦什么」。同一批原始数据，在这三个时间尺度上被加工成完全不同的产品形态。

战略层是数字足迹情报、威胁情报报告（APT、犯罪软件、ICS 三条线）和基础设施追踪；运营层是威胁分析（沙箱、归因、相似性比对）、问分析师和下架服务；战术层是威胁数据源、CyberTrace 和威胁查询。三者不是三条独立产品线，而是同一条数据管线的三个出口。

图 1｜威胁情报产品矩阵：同一情报池的三个时间尺度

理解这一点，才理解为什么「买情报」这件事经常买错：企业想要的是结论，却按条数采购了 IOC。

研讨会上，Shaburov 把采购动因归结为四类问题。构建威胁全景，问的是对手是谁、手里有什么武器；攻击面识别，问的是对手已经掌握了你多少信息、会从哪里下手；攻击检测，问的是我们到底掌握了什么、怎么保证不漏；事件分析，问的是零散线索怎么串成一条线、告警怎么定级。

图 2｜四类典型用例与它们各自的问题

四个问题，对应四种完全不同的交付形态。全景需要报告和趋势，攻击面需要外部视角，检测需要可执行的规则，事件分析需要能把单个指标扩展成完整叙事。同一份情报，答错问题就等于没用。

情报本身不解决问题。 它只是把「我不知道」变成「我可以查」——而能不能查、查多快，取决于是谁在问、以什么形态交付。

PART

同一套情报，三种买法

THREE BUYERS, THREE SHAPES

研讨会用一张对照表把客户分成了三档，逻辑不是按营收规模，而是按有没有专职的威胁情报职能。

顶级企业

精英级安全部门、专职威胁研究团队、应急响应团队齐备，甚至自己生产情报：不只是消费，还把数据对外输出。他们要的是原始数据和 API、最大深度、尽可能广的覆盖。

成熟企业

有成熟 SOC 和 CTI 小组，商业与开源情报多源并用，情报已经嵌进 IR、威胁狩猎、红紫队演练和风险管理。他们不缺数据，缺的是集成效率，以及指标背后的上下文。

中型企业

有安全部门，但没有专职 CTI 团队，SOC 要么很小要么外包，流程碎片化，产品选型高度受预算约束。他们买情报是为了给既有安全控制加一层判断，要的是简单、开箱即用、少人工、结论清晰可执行。

这三档决定了同一款产品要交付出三种形态。给顶级企业一份摘要，等于什么都没给；给中型企业一份原始数据流，等于把问题原样退回。

PART

AI 的三种用法

TO USE, OR NOT TO USE

AI 进入威胁情报，最容易被讲成「帮你写报告」。卡巴斯基给的三个用例要具体得多。

用例一 · 查人

在威胁情报门户里调查一个行为体，把零散的报告、技术、样本、基础设施拼成一个人的画像。

用例二 · 查指标

给一个 IP 或哈希，快速定性它是什么、和谁有关、此前是否出现过。

用例三 · 接自己的模型

把门户里的情报做成 AI 可读的形态，通过 MCP 暴露出来，企业用自己的大模型、智能体、数据库和文件去调用。

前两个用例的本质是把「检索 + 阅读」这一段压缩掉。第三个用例才是重点——它把边界问题摆到了台面上：既然模型能读，那它读的到底是什么？

威胁研究与事件定级，跑在卡巴斯基独有的数据上，而不是跑在模型碰巧记住的东西上。这是整场研讨会真正的论点。

大模型对威胁行为体的「记忆」来自公开语料，滞后、模糊、而且不可追溯。情报厂商的价值不在于替模型补习，而在于给模型一个可以引用的证据库。

PART

一次告警，四个问题

ONE ALERT, FOUR QUESTIONS

研讨会的后半段是一个完整演示，日期标在 10 月 14 日。

SIEM 弹出一条高危告警：内网主机 FIN-SRV-07 在 09:42 外连 203.0.113.47:443，命中已知 C2 地址。CyberTrace 随即补上上下文——这个地址命中卡巴斯基威胁数据源，属于 Cobalt Strike 的 C2，疑似 3AM 活动。

3AM 是 2023 年 9 月首次被披露的勒索软件即服务变种。卡巴斯基在勒索软件年度报告里记录过它的两个细节：命令行接口相当完整，以及一个「访问密钥」机制——样本必须拿到密钥才能执行，专门用来对抗自动化沙箱。它的附属团伙惯用 Cobalt Strike 建立初始据点，这条告警的形态和这个背景正好吻合。

接下来是演示的关键动作。分析师没有打开四个页面分别查，而是写了一条提示词，把四个问题一次问完：3AM 是谁、对我们有没有关系；SIEM 该补哪些检测；EDR 该 hunt 哪些文件；防火墙该封什么。