蔚来安全数据智能底座实践

该报告深入剖析了蔚来安全数据智能底座的实践应用，重点围绕数据就绪度、数据治理与多模态融合、历史告警与知识库赋能AI研判、Agent平台实现端到端工作流闭环等四个核心方面展开。报告指出传统SIEM的局限性，以及蔚来通过整合多数据源、采用双路检索融合排序、利用历史告警库和知识库提升AI研判能力等具体措施，最终实现告警处置的自动化和知识沉淀。

报告揭示了安全行业AI应用的发展趋势，强调数据治理是AI效能的关键，需要通过标准化接入、混合检索、资产图谱覆盖实现数据可查与可推理。同时指出智能体需具备自主学习与协作能力，通过历史经验自动提炼方法论，跨Agent共享知识，形成“实习生→团队”的成长路径。人机协同边界明确，异常时人工介入，常规动作一键审批，升降级基于量化指标而非主观判断。技术演进方向上，Hybrid检索+GraphRAG实现“实体-关系”召回，结合多模态与LLM持续强化威胁检测闭环。

报告重点分析了数据治理、多模态融合、历史告警与知识库赋能、Agent平台工作流闭环等技术方向。在数据治理方面，通过整合L130+数据源、29张标准化表，采用ECS字段映射统一收口设备日志；在多模态融合方面，采用BM25+向量双路检索融合排序，语义+关键词RRF融合，实现高确定性事件快速初判；在历史告警与知识库赋能方面，历史告警库覆盖92%资产图谱，结合百余份SOP，支持LLM驱动告警关联与自然语言调查，通过RAG注入上下文，GraphRAG召回实体+关系，实现“攻击链叙事+处置建议”自动生成；在Agent平台工作流闭环方面，将ES检索、运营Agent研判、工单系统按流程粘合，实现告警处置自动流转，并建立知识沉淀机制，研判记录自动合并入库，重复3次以上自动升级为项目级配置。

当前安全市场AI应用现状呈现数据治理成为效能关键的特点，多数企业仍面临传统SIEM无法串联业务上下游知识链的问题，导致AI单点看、看不全，产生“幻觉”或负生产力。同时，数据治理与多模态融合成为提升检索效率的重要手段，通过整合多数据源、采用混合检索技术，可以有效降低误报率，提升事件初判的确定性。此外，历史告警与知识库赋能AI研判成为趋势，企业通过建立历史告警库和知识库，结合LLM等技术，实现告警关联与自然语言调查，提升AI研判能力。但当前多数企业的AI应用仍处于初级阶段，数据量、数据处理能力、知识库覆盖度等方面仍有较大提升空间。

该报告提示了数据治理不足、AI应用效果不达预期、技术演进难度大等风险。数据治理不足可能导致数据质量不高，影响AI应用效果；AI应用效果不达预期可能由于数据量不足、数据处理能力有限、知识库覆盖度不够等原因导致；技术演进难度大则体现在Hybrid检索+GraphRAG等技术实现复杂，需要持续投入研发资源。此外，报告还提示了人机协同边界不明确、技术更新迭代快等风险，需要企业持续关注技术发展趋势，及时调整技术路线。