经常有客户问我们“既然有了 AIMDR托管检测与响应团队还需要多少安全分析师”这个问题背后其实隐藏着一个更关键的判断AI 是否已经强大到可以替代人工分析甚至自动发现并阻断勒索攻击Bitdefender 的观点是AI 正在显著提升 SOC安全运营中心的效率但它不能单独解决勒索攻击。真正有效的勒索防护不是等到勒索程序运行时才拦截而是在攻击链早期发现异常并通过完整遥测、终端防护、身份控制、MDR 经验和分析师判断形成闭环。AI 在 SOC 中到底能做什么不可否认AI 已经为 SOC 和 MDR 带来了实质性的效率提升。它可以帮助安全团队完成告警降噪、事件关联、风险排序和调查摘要生成也可以在边界清晰的场景中辅助执行自动隔离、密码重置、进程阻断等动作。但 AI 不是安全基础建设的替代品。如果企业仍存在遥测盲区、未纳管终端、MFA 覆盖不足、响应权限不清晰等问题AI 并不会自动补齐这些短板。它只能分析自己看得到的数据数据越完整AI 越有效数据越缺失AI 只是更快地处理一个不完整的安全画面。为什么只盯着“勒索程序执行”是错误目标很多企业谈到勒索防护第一反应仍然是“勒索病毒文件能不能被查杀”。但在真实攻击中勒索程序部署通常已经是最后一步。在加密程序运行之前攻击者可能已经完成入口访问、内网扫描、凭据窃取、权限提升和横向移动。以 Bitdefender MDR 团队观察到的 Akira 勒索攻击为例其攻击链在多个中型企业环境中呈现出相似路径VPN 访问、内部网络扫描、远程注册表活动、凭据转储、RDP 横向移动最后才是勒索软件部署。真正阻止业务损失的检测点不是在第六步而是在第二步。在相关事件中Bitdefender 分析师发现高级IP扫描器从临时用户目录运行。单看这个工具它并不一定是恶意软件因为合法管理员也可能使用它进行网络扫描。但结合异常 VPN 访问、运行路径、内网扫描行为以及跨客户环境中积累的攻击经验分析师判断这很可能是勒索攻击链正在形成的早期信号并及时隔离受影响主机避免勒索程序进入部署阶段。行为检测能看见“特征码”看不到的风险签名检测、规则检测和厂商指导仍然重要但它们并不总能第一时间跟上攻击节奏。原文提到2025 年 7 月 18 日Bitdefender MDR 团队在一台本地部署的 SharePoint 服务器上发现可疑的编码 PowerShell 活动攻击者试图向 SharePoint Web 目录写入恶意代码。相关漏洞 CVE-2025-49706 和 CVE-2025-49704 已在 2025 年 7 月 8 日由微软发布但当时安全社区对相关漏洞被主动利用的广泛确认和指导仍在陆续形成。这说明企业不能只依赖“已知恶意样本”或“已发布检测规则”。在攻击者利用时间差行动时行为检测和分析师经验往往能更早发现异常。AI 什么时候该把判断交还给分析师在 SOC 中AI 与分析师的边界可以用两个因素判断不确定性和业务影响。当不确定性低、业务影响可控时AI 可以自动化处理当不确定性高或者处置动作可能影响关键业务时就必须由分析师介入。某些远程注册表访问、系统工具调用或凭据相关行为可能是正常运维也可能是攻击前兆。AI 可以识别行为本身却未必知道它是否符合某个企业的真实业务环境。分析师的价值正是在上下文中判断哪些行为真正异常。企业真的准备好使用 AI SOC 了吗最能发挥 AI SOC 价值的企业通常不是那些希望靠 AI 弥补基础短板的企业而是已经具备较好安全基础的企业。如果企业拥有较完整的终端可见性、遥测覆盖、MFA、防御层和响应流程AI 就能在可靠数据基础上提升效率让分析师更快聚焦真正重要的风险。相反如果企业仍存在大量未纳管系统、缺失终端代理、日志不完整、身份控制薄弱等问题AI 只会更快地处理不完整的数据。AI 提升速度预防和判断决定结果对于勒索攻击来说最好的防护结果不是在勒索病毒运行时才拦截它而是在攻击链早期发现异常让勒索程序根本没有机会运行。Bitdefender 强调的方向是以预防优先的安全架构为基础通过终端防护、行为检测、完整遥测、MDR 托管检测与响应以及安全分析师判断形成闭环让企业在攻击真正造成影响之前完成处置。AI 可以让 SOC 更快但只有可见性、预防能力和专业判断才能让企业在勒索攻击面前更稳。