人工智能安全工具的性能取决于数据质量：劣质数据如同垃圾食品

正如铁人三项运动员明白巅峰表现不仅依赖昂贵装备，网络安全团队也正意识到AI的成功关键不在于部署的工具，而在于为其提供的数据质量。

网络安全中的"垃圾食品"问题

设想一位不惜重金购置装备（碳纤维自行车、流体力学潜水衣、精密GPS手表）的铁人三项运动员，却用加工零食和功能饮料补充能量。尽管装备精良，其表现仍会因基础营养不足而大打折扣。运动员将营养视为训练的第四大要素，这对表现有重大影响，甚至决定比赛结果。

当今的安全运营中心（SOC）面临类似困境。他们大量投资AI驱动的检测系统、自动化响应平台和机器学习分析工具——相当于专业级铁人三项装备。但这些先进工具却运行在传统数据流上，缺乏现代AI模型有效运作所需的丰富内容和上下文。

正如铁人三项需要游泳、骑行和跑步的协调配合，SOC团队必须精通检测、调查和响应。但若缺乏"第四要素"，分析师将面对稀疏的终端日志、碎片化警报流和互不联通的数据孤岛，这就像仅靠薯片和啤酒完成铁人三项——无论训练或装备多精良，都难以率先冲线。虽然比赛日可摄入糖分和热量维持体力，但这绝非能优化长期表现的可持续方案。

传统数据饮食的隐性成本

Corelight首席战略官Greg Bell指出："我们正经历AI革命的第一波浪潮，焦点一直集中在模型和应用上。这很合理，因为其对网络防御的影响将十分巨大。但我认为人们正逐渐意识到，机器学习和生成式AI工具的性能受限于所消耗数据的质量。"

先进AI能力与过时数据基础设施间的脱节，催生了安全专家所称的"数据债务"——在非为机器学习设计的底层上构建AI系统所累积的成本。

传统安全数据常如运动员简略的训练日记："今日跑步，感觉尚可。"它提供基本信息，但缺乏实现真正提升所需的细粒度指标、环境背景和性能关联。传统数据流通常包含：

• 稀疏终端日志：记录事件但缺失行为上下文
• 仅含警报的数据流：告知事件发生却不说明全貌
• 孤立数据源：无法跨系统或时间段关联
• 被动指标：仅在损害发生后触发且无历史视角
• 非结构化格式：需大量预处理才能供AI模型分析

攻击者已实现"性能增强"

当防御者苦于AI"营养不良"的数据时，攻击者却以精英运动员般的纪律优化了策略。他们利用AI创建自适应攻击方案，通过以下方式实现更快、更廉价且更精准的打击：

• 自动化侦察和漏洞利用开发以加速攻击
• 降低单次攻击成本，提升潜在威胁规模
• 基于AI收集情报个性化攻击实现精准打击
• 根据有效战术快速迭代和改进

与此同时，许多SOC仍在使用相当于1990年代训练方案（仅含基础心率数据）的数据来防御这些AI增强威胁，而对手已采用全面性能分析、环境传感器和预测建模。这导致性能差距不断扩大。随着攻击者AI运用日益娴熟，防御数据质量变得愈发关键。劣质数据不仅延缓检测——更会削弱AI安全工具效力，制造可供老练对手利用的盲区。

AI就绪数据：SOC所需的性能增强方案

解决方案在于围绕AI模型实际需求重构安全数据架构。这意味着从传统数据流向"AI就绪"数据转型——专为AI分析和自动化设计的结构化、丰富化和优化信息。

AI就绪数据与精英运动员优化训练所用的全面性能指标相似。正如运动员追踪从功率输出、节奏到环境条件和恢复标记等一切数据，AI就绪安全数据不仅记录事件，更捕获完整上下文。这包括：

• 加密掩盖证据前的网络遥测数据
• 揭示行为模式的全面元数据
• 无需大量预处理即可供AI模型直接处理的结构化格式

此类数据专为赋能AI驱动安全运营的三大核心组件设计：

• AI驱动威胁检测：当配备包含完整上下文和跨本地/混合/多云环境实时收集的取证级网络证据时，检测效能显著提升，使AI模型能识别传统日志格式中不可见的微妙模式与异常
• AI工作流：通过AI驱动的有效载荷分析、历史上下文和会话级摘要增强专家编写流程，彻底改变分析师体验，相当于拥有一位能即时分析性能数据并提供具体改进建议的世界级教练
• AI赋能生态集成：确保AI就绪数据无缝流入现有SOC工具（SIEM、SOAR平台、XDR系统和数据湖），无需定制集成或格式转换，自动兼容分析师武器库中的几乎所有工具

优质数据的复合效应

向AI就绪数据转型对安全运营产生复合效应。团队能关联瞬态云环境中的异常访问模式和权限提升，这对传统工具遗漏的云原生威胁至关重要。在实现更快新检测方案开发的同时，还能扩大对新型、规避性和零日（zero-day）威胁的覆盖范围。

最重要的是，分析师能快速理解事件时间线而无需解析原始日志，获取跨主机和会话的可疑行为简明摘要，并将注意力集中在有明确价值判断的优先警报上。

Bell补充道："高质量、上下文丰富的数据是AI发挥全部潜力所需的'清洁燃料'。缺乏优质数据的模型注定令人失望。随着AI增强成为攻防双方的标准，成功的企业将是那些理解根本真理的组织：在AI安全领域，输入决定输出。"

每个SOC必须做出的训练决策

随着AI成为攻防标配，缺乏正确数据的AI驱动安全工具无法发挥潜力。继续用传统数据喂养这些系统的组织可能会发现，其对下一代技术的重大投资在面对日益先进的威胁时表现不佳。而那些认识到这并非要取代现有安全投资——而是为其提供高质量"燃料"以实现承诺——的组织，将有望释放AI的竞争优势。

在与AI增强威胁的升级对抗中，巅峰性能确实始于你为引擎提供的燃料。