Sophos与OpenAI的客户案例显示，引入Daybreak构建的AI代理后，部分MDR案件平均调查响应时间从约38分钟降至89秒，约52%的案件可在边界内由代理端到端处理。但这些数据来自厂商案例，实际效果依赖数据完整性、权限控制与人工复核，验证与授权仍是关键瓶颈。
Sophos表示，在接入OpenAI Daybreak网络安全能力后，其部分托管检测与响应（MDR）案件的平均调查和响应时间，已从约38分钟降至89秒，降幅约为96%。该公司还称，52%的MDR案件目前可以由人工智能代理在既定边界内端到端解决。
这些数据来自Sophos与OpenAI于2026年10月9日发布的客户案例，而不是独立第三方评估。案例显示，生成式人工智能正在网络安全行业从辅助分析工具，转向能够连续执行信息收集、调查规划、证据整理和部分响应操作的“代理”系统；与此同时，企业仍需要决定哪些动作必须保留在人类手中。
从38分钟到89秒
根据OpenAI发布的Sophos客户案例，Sophos每天从500多个第三方集成以及自身产品中收集数万亿条事件信号，经过筛选后形成约1,000至2,000个案件，交由其九个安全运营中心调查。
在引入Daybreak构建的代理之前，调查和响应主要依靠安全分析师的专业判断，平均每宗案件约需38分钟。现在，一个调查代理可以先汇总客户环境、检测结果、入侵指标和相关威胁情报；随后，规划模型建立“计划—执行—复核”循环，完成调查步骤并生成摘要和建议行动，供分析师审阅。
OpenAI案例援引Sophos首席技术官John Peterson的话称，使用这些代理的案件平均响应时间已降至约89秒，约一半案件已经由Sophos利用Daybreak模型开发的代理自动处理。Sophos的公开材料则将端到端由AI解决的MDR案件比例具体表述为52%。
这组数字并不意味着所有安全事件都已由模型独立处置。它描述的是Sophos在自身MDR架构、数据来源、分析流程和权限控制下取得的结果，适用范围也集中在“使用代理的案件”以及公司已经纳入自动化边界的工作流。
代理并不等于放弃人工判断
Sophos将客户控制划分为三种模式：在“通知”模式下，Sophos负责调查和提出建议，由客户采取行动；在“协作”模式下，Sophos与客户共同决定是否响应；在“授权”模式下，Sophos可以代表客户直接采取行动。
OpenAI案例称，同样的边界适用于人工和代理完成的工作。Sophos表示，任何其认为不适合由代理处理的动作，都会交由人类判断。可能具有破坏性的操作仍需要适当级别的人工监督，代理的价值主要在于压缩调查时间、减少重复工作，并把分析师的注意力转向例外情况和关键决策。
这也是企业安全代理与一般聊天机器人之间的差别。安全代理不只是回答“发生了什么”，还需要读取多个系统的信号，判断哪些证据相关，调用工具完成下一步工作，并在权限范围内留下可审计的过程记录。若代理能够直接隔离设备、修改规则或删除文件，速度优势就必须与授权、回滚和责任边界同时设计。
攻击者也在利用AI压缩时间
Sophos在7月发布的AI Security 2026报告中表示，人工智能当前对网络犯罪最直接的影响是加速熟悉的攻击流程，而不是已经普遍创造出全新的攻击类型。
Sophos称，其追踪到的一起名为STAC6994的活动中，攻击者在受害者网络内运行了约12个AI代理，用于编写和测试针对Sophos、CrowdStrike和Microsoft Defender等终端防护产品的攻击模块。相关行动产生了近80个模块和超过70种规避技术，把原本可能需要数周的开发、测试和迭代压缩到数天。
该报告还指出，企业AI身份、OAuth令牌、代理、API以及开发工具正在成为新的高价值攻击面。攻击者可能不必先攻破模型本身，而是通过凭据、连接权限、开发环境或供应链进入围绕AI系统建立的信任关系。
AIFlux此前对Anthropic Cyber Mission的报道也显示，其他模型公司正在尝试把前沿模型用于关键基础设施防御和开源软件漏洞发现。但这类项目同样面临验证容量不足的问题：模型可以快速产生漏洞线索，维护者和安全团队却仍需要复现问题、判断真实影响并部署补丁。
Daybreak试图把模型能力放进现有防御系统
OpenAI将Daybreak描述为一个面向网络防御的受控技术栈，包含前沿模型、Codex运行环境、Codex Security、网络安全工作流和合作伙伴网络。其目标不是把模型直接交给所有客户，而是通过安全厂商、系统集成商和专业服务机构，将模型能力嵌入防御者已经使用的工具和流程中。
在Daybreak官方介绍中，OpenAI把防御工作概括为持续循环：资产盘点、发现问题、验证、分派、修复和证明。该计划还宣布，在六个月内为前线防御者提供总额10亿美元的补贴访问和支持，面向州和地方政府、关键基础设施运营者、社区银行、非营利组织及开源维护者等群体。
Sophos是这一伙伴模式的一个实例。公司6月宣布加入OpenAI Daybreak Cyber Partner Program，随后又扩大到MDR、数字取证与事件响应（DFIR）以及咨询服务。Sophos称，其服务覆盖超过625,000家组织，并通过超过25,000家合作伙伴提供服务，其中包括超过7,000家托管服务提供商。
Sophos在8月的说明中还提到，OpenAI模型将被用于帮助分析师关联终端、网络、身份、电子邮件和云环境中的信号；在DFIR场景中重建攻击时间线，并评估入侵者访问、移动或带走了什么；在安全咨询和渗透测试中，则用于梳理可能的攻击路径和验证可利用弱点。
速度提升之后，验证仍是瓶颈
Sophos的案例说明，AI代理可能在调查阶段带来显著的时间压缩，但它没有自动解决网络安全中的所有难题。企业仍需要确认输入数据是否完整，调查结论是否准确，代理是否越过授权范围，以及建议的响应动作是否会造成新的业务风险。
尤其是在跨系统调用越来越多的情况下，“案件被快速处理”与“案件被正确处理”并不是同一个指标。调查代理可能缩短从告警到初步判断的时间，但真实防御效果还取决于误报和漏报、工具调用权限、客户环境差异、人工复核质量，以及组织能否及时执行修复。
Sophos建议安全领导者继续重视补丁、多因素身份验证、网络分段和终端保护等基础措施。John Peterson在OpenAI案例中表示，漏洞发现和利用的速度正在加快，做好基础安全控制反而比以往更加重要。
因此，Sophos与OpenAI公布的96%并不能简单理解为网络安全工作整体效率提高了96%。它更准确地描述了一个特定企业在特定MDR流程中，把部分调查任务交给代理后取得的时间变化。对行业而言，真正需要观察的是：这种速度能否在更多客户环境中稳定复现，自动化边界能否被清楚审计，以及当代理判断出错时，人类能否在造成损害前及时接管。