前沿AI正在同时改变网络安全的攻防两侧。攻击者可以利用开放权重模型发现漏洞、加速利用，防御者则需要更快地调查和响应威胁。Sophos是一家保护超过625,000个组织的安全公司，通过 OpenAI Daybreak 计划，把OpenAI模型与自身威胁情报、响应剧本和安全专长结合起来，目标是让专家能力覆盖所有客户。CTO John Peterson说，Sophos带来领域专长和规模化对抗攻击的知识，Daybreak和OpenAI带来前沿智能，让这些专长得以扩展。

核心载体是 Sophos Fusion，Sophos的AI原生网络防御系统，包含托管检测与响应（MDR）。它汇集了超过500个第三方集成以及Sophos自身产品的传感器数据，每天产生数万亿事件，再被提炼成大约1000到2000个案例，交给9个安全运营中心处理。Daybreak构建的代理改变了案例处理方式：调查代理负责收集客户上下文、检测结果、失陷指标（IoCs）和相关威胁情报；规划模型创建一个计划-执行-审查循环，生成调查计划、执行步骤，并输出包含建议响应动作的摘要供分析师审查；其他代理还能执行部分响应动作。

在Daybreak之前，案例调查和响应主要依赖人工。Sophos原有流程平均耗时约 38分钟，Peterson称这一表现优于 96% 的专业安全运营中心。现在，使用这些代理的案例平均响应时间降到约 89秒——相当于缩短了 96%。Sophos处理的案例中约有一半由基于Daybreak模型构建的代理自动化完成。最终结果是：52% 的MDR案例在Sophos分析师校准的边界内由AI端到端解决；客户获得更快、更一致的调查体验；Sophos可以用计算扩展来代替稀缺安全人力的等量增长，把分析师的注意力还给真正需要专业判断的威胁、异常和决策。

Sophos把客户控制权内置到MDR服务中，通过三种操作模式：Notify（Sophos调查并建议响应，客户执行）、Collaborate（双方协作后再行动）、Authorise（Sophos可代表客户直接响应）。这些边界对人和代理同样适用。自动化被用来提速和更高效地使用分析师时间，但潜在破坏性操作仍需要适当级别的人类监督。任何不适合代理处理的事情都会转给人工判断。

Peterson表示，未来会继续扩展代理能力，让响应能力更复杂，并拓宽代理覆盖的用例范围。他给其他安全领导者的建议是回到安全基本面：包括补丁、端点保护、多因素认证（MFA）、网络分段和强大的安全运营。补丁只能覆盖厂商已知的漏洞，而漏洞正以惊人的速度被发现和利用，所以把基础做好比以往更重要。