大模型在商业银行安全运营领域的应用与研究

来源：市场资讯

（来源：中国金融电脑）

作者

中国邮政储蓄银行软件研发中心研发安全处 王齐峰 睢修勇 刘宵瑞 顾大伟 许嘉晖

当前，新兴技术不断发展，网络安全攻击手段层出不穷。在安全防御和检测方面，商业银行面临着安全设备多且复杂、告警量大、安全运营团队告警疲劳、人员压力倍增等挑战。人工智能作为新一轮科技革命和产业变革的重要驱动力，尤其在新一轮AI大模型与生成式AI技术浪潮的推动下，商业银行重视并应用大模型成为金融行业的普遍共识。为提升安全运营效率和信息化建设的安全性，越来越多的商业银行积极引入大模型，旨在减轻安全运营团队压力，有效提升安全体系建设的自动化水平，解决告警疲劳等问题。

一、安全运营的核心

及难点分析

为持续监控、检测、分析和应对网络安全事件和威胁，商业银行将建设安全运营中心(Security Operations Center，SOC)作为安全运营工作的核心目标。SOC集人员、流程和技术于一体，负责全天候检测终端、服务器、网站和其他系统的所有活动，实时发现潜在威胁，对网络安全事件进行预防、分析和响应，改善网络安全态势。商业银行SOC的建设长期面临三大瓶颈：技术上难以覆盖全攻击面的数据分析，团队上难以补齐跨领域的研判经验，流程上难以实现应急响应的高效闭环。而大模型在海量数据处理、深度逻辑推理以及自动化编排上的天然优势，恰好能高效填补“技术、人员、流程”的三大缺口，下文将进一步展开分析。

1.安全运营技术

商业银行安全运营是指利用先进技术工具辅助增强检测、分析和响应威胁的能力，核心技术包括自动化编排响应(SOAR)、终端检测和响应(EDR)等(见表1)。

表1 安全运营的核心技术

这些技术工具可持续监控终端和整个网络中的可疑活动，使商业银行能够有效监控、检测和应对网络威胁。

2.安全运营团队

安全运营团队需要具备特定技能分析响应事件，并在必要时与其他安全专家协同应对复杂威胁。例如，协同逆向工程师分析恶意代码，与红队、蓝队专家进行内部渗透测试并提出防护建议。安全运营团队技能要求如图1所示。

3.安全运营关键流程

安全运营的主要目标是实现威胁发现及响应处置，其关键流程主要涵盖三个阶段：威胁检测、威胁分析研判和响应处置(如图2所示)。

威胁检测：接入威胁检测设备，接收来自流量、终端、主机等多种形式的安全告警日志及威胁情报数据，通过大数据平台对原始告警数据进行过滤和规范化解析，并将其转换为易于分析的结构化数据。

威胁分析研判：核心任务是分析确定风险事件的严重性、影响范围和处置优先级。该阶段告警研判的质量直接影响整个事件响应的效率和效果。告警研判准确度在很大程度上依赖安全人员的经验积累和能力，常用分析方法有关联分析、异常行为分析、特征检测分析等。

响应处置：核心任务是控制影响范围并及时补救，具体措施包括隔离被入侵系统、限制网络访问、修复漏洞、管控权限、清理持久化后门等，通常采用人工和自动化处置相结合的方式。早期，这一工作完全依赖人工，需要安全人员在各个安全设备间来回切换操作。如今，安全运营团队通常会整理总结应急流程中的固定操作，将其编排转化为SOAR剧本，进行自动化处置。SOAR将联动EDR、防火墙等其他平台，通过接口调用、脚本执行等方式进行处置。

4.安全运营难点分析

随着网络环境和基础设施日益复杂，商业银行的安全运营工作面临三大核心挑战：一是告警质量问题。安全运营团队虽然采集了大量数据及告警，但不能判断哪些真正需要关注，导致大量告警需经人工确认，成本过高。二是流程方面无法实现自动化编排，缺乏明确定义的流程或剧本，导致流程效率低下；从技术角度来看，大量没有关联的告警、未集成的工具等阻碍了有效研判和响应。三是对安全人员的技能和熟练程度的要求较高，且告警增多使安全运营团队面临更大压力;同时，人员精力或技能不足，直接影响了调查的有效性和判断的准确性。

此外，告警疲劳问题日益严重，削弱了安全团队有效检测、处理和应对安全威胁的能力，对商业银行整体的网络安全态势产生不利影响。

二、大模型助力安全运营

在网络安全领域，大模型以其强大的数据分析和深度学习能力，能够自动化、智能化分析海量数据，从中提取潜在的安全威胁和异常行为，此举不仅有效提高了安全运营效率，还对提升商业银行的安全防护水平具有重要意义。

根据前面的分析，安全运营的难点集中在技术、团队和流程三个维度：技术侧难以完成全攻击面的海量数据获取与分析;团队侧受限于人员精力，难以具备跨技术领域的资深研判经验；流程侧则难以在错综复杂的应急响应中实现高效流转与闭环。而这三大痛点——庞杂数据的深度解析、高度依赖经验的安全研判、自动化的高效响应执行，恰好是大模型技术能够发挥作用的优势领域。

1.安全大模型与智能体应用

安全大模型训练通常采用“预训练+微调”方式。第一步，使用安全大数据预训练得到具有安全知识的领域大模型。其中，安全大数据包括但不限于威胁情报、安全知识、日志信息等。第二步，进行大模型监督微调(Fine-Tuning)，在已预训练完成的大模型基础上，采用特定的数据集进一步训练，使模型适应特定任务。想要将大模型应用于商业银行内部的安全建设场景，需要为通用大模型提供丰富的内部知识文档供其学习和理解，同时运用人类反馈强化学习的方法对大模型进行训练和微调。

大模型在安全运营中的重点应用正聚焦于智能体。智能体以大模型为核心，具备环境感知、自主决策和行动执行等能力，通过外围技术的增强，弥补模型缺陷，形成完整的系统。目前，大模型在网络安全领域的落地，通常以智能体为表现形式，结合安全场景、数据、知识、工具、流程等构建完善的应用服务。将智能体融入安全运营流程，能显著提升安全运营工作效率，增强自动化防御能力，有效缓解告警疲劳，使安全运营团队能集中精力解决更复杂的问题。

2.安全运营效率提升分析

大模型智能体在安全运营场景的应用(如图3所示)，主要包括整合其数据获取、工具调用、综合分析以及自然语言人机交互等能力。

一方面，大模型智能体不会替代现有的安全平台工具，而是作为辅助与其配合。它能够直接调用安全平台数据，通过API等接口指挥协调相关安全平台完成具体操作，并对结果进行分析，如日志查询、资产漏洞扫描、终端隔离、沙箱样本分析等原本需要专业技能的操作。这一过程体现了其数据获取和响应能力。

另一方面，大模型智能体依托自然语言交互和自动化辅助能力，可有效提高工作效率，为工作人员解答其实际工作中的问题，如分析攻击脚本和原理，并提出补救建议等。大模型提升安全运营效率流程如图4所示。

一是提高威胁检测效率。大模型智能体通过机器学习算法，分析大量的网络流量日志、用户行为数据以及系统事件，识别异常模式和潜在威胁。其驱动的威胁检测可过滤大量的告警误报，减少告警疲劳，大幅提升检测率，使安全人员专注于10%～20%的真正威胁告警，提升威胁检测效果。

二是提高威胁响应效率。大模型智能体能够有效结合告警事件和安全工具提升响应效率，通过接口调用等方式访问安全平台数据，支持安全运营团队使用自然语言查询和提示；同时，结合自动化的方式简化原有工作流程，接管繁琐任务，更快收集并分析多源数据，识别风险并自动触发响应流程，例如隔离受影响的系统、启动深入调查或通知安全运营团队，大幅缩短响应时间。理想情况下，大模型智能体能够在几分钟内控制和解决安全事件，支持7×24小时待命。

三是提高安全分析能力。手动分析大量安全事件不仅耗时，而且容易产生疏漏。大模型智能体可以自动化分析安全日志、网络流量等其他相关数据，快速识别安全事件关键信息。利用自然语言处理技术，大模型智能体还能理解和解析事件报告，提取关键信息并生成处置建议，提高事件响应速度，减少人为误差，提升整体安全分析准确性。例如，检测到恶意软件活动时，大模型智能体可以自动提取其特征，并提供详细的应对策略，帮助安全人员迅速采取适当的防御措施。

四是实现安全报告的自动化。大模型智能体可结合通信工具自动生成安全事件报告、事件总结等，并通过邮箱或通信平台将其提交给安全人员，无须手动干预，此举可提升安全运营团队协作能力，确保团队信息同步，提高整体事件响应效率。

三、风险与挑战

尽管大模型在安全运营工作中具有显著优势，但其应用也面临诸多挑战和风险。一是大模型训练依赖海量数据，其中可能包含敏感信息，存在隐私安全隐患；二是大模型结构复杂，具备黑盒特性，决策过程难以理解，但安全事件的响应往往需要明确依据；三是大模型的性能依赖高质量的数据输入，低质量数据可能导致错误判断和误报。

对此，商业银行需采用明确的数据隐私政策和透明算法，持续监控和评估大模型性能。此外，大模型仍存在缺陷，包括知识静态化(仅限于训练数据截止日期)、信息获取受限(无法主动获取实时信息)、幻觉问题(可能产生虚假或不准确的信息)等，这些挑战仍需在实践中持续分析解决。

从安全运营成熟度发展趋势来看，安全运营的自动化和智能化已成为必然方向。如何在具体场景中深度融合大模型智能体能力，将是金融行业需要共同探索的重要课题。

本文刊于《中国金融电脑》2026年第5期

特别提示

《中国金融电脑》杂志不收取作者版面费用，不会以所谓的“本刊代理/编辑部”或“发表定金”“手续费”等名义收取费用。购刊收款账户为对公账户，请勿对任何个人账户汇款。另，本刊开具发票不收取任何额外费用。如有异常，请作者立即与本刊编辑部查证核实，以免给自身造成风险或损失。

本刊编辑部联系方式：

010-51915111-816

投稿邮箱：

fcc@fcc.com.cn

市场合作：

010-51915111-813

010-51915111-812

010-51915111-826