从追逐幽灵到漏掉攻击：SOC 从业者对 LLM 集成、风险与就绪度的看法
原标题:From Chasing Ghosts to Missed Attacks: Perspectives and Perceptions of SOC Practitioners on LLM Integration, Risks, and Readiness
AI 导读
该研究通过对25名有LLM使用经验的安全运营中心从业者开展半结构化访谈和交互式情景研究，归纳出六类共15种用例。受访者认可LLM自动生成报告等低风险任务的价值，但认为事件分析仍受技术深度、上下文和组织知识不足影响，并警惕人员过度依赖。
为什么值得读
SOC正在面对LLM落地压力，这项从业者研究及时划出了可自动化任务与高风险决策之间的现实边界。
深度解读
1. 发生了什么
**原始事实：**论文报告了对25名具有LLM使用经验的SOC从业者的半结构化访谈，并以交互式情景补充访谈，以研究LLM在真实安全运营流程中的机会、风险与采用条件。研究归纳出六个功能类别中的15种LLM用例。
2. 核心方法与技术
**原始事实：**这不是模型或检测算法评测，而是一项从业者导向的定性研究。方法由半结构化访谈和用于预判实际挑战的交互式情景组成，重点覆盖不同SOC角色与组织中的工作流集成。
3. 关键证据与数字
**原始事实：**样本包含25名从业者；研究识别出15种用例并归入六类。受访者认可报告自动化等重复、低层级任务，但将事件分析等高影响任务评为尚不可行，指出技术深度、上下文感知和组织专属知识不足。摘要未提供组织数量、受访者构成、编码一致性或量化评分。
4. 为什么重要
**分析：**SOC决策具有时间压力和高错误成本。研究显示，LLM集成的主要问题不只是模型能力，还包括组织数据准备、流程设计和人员过度依赖；这意味着仅升级模型未必能消除漏报、误报或错误处置风险。
5. 实际影响
**分析：**较稳妥的近期落点包括报告起草、信息整理和其他可复核的重复任务。对于事件分析和高影响响应，团队应保留人工审批、组织上下文检索、输出溯源、权限控制与持续评估。摘要没有说明作者是否逐项提出这些具体控制措施，因此后四项属于基于研究主题的实施分析，而非可确认的作者结论。
6. 局限与不确定性
**原始事实：**现有信息仅来自用户提供的摘要。**不确定性：**25人的定性样本可能不能代表不同地区、行业和成熟度的全部SOC；受访者看法也不等同于真实部署中的检测性能。论文全文、作者信息、方法细节及结果表尚未在此独立核验。
7. 原始来源
- arXiv 摘要页：https://arxiv.org/abs/2608.00672
- 用户提供的发布日期：2026-08-01T13:47:44.000Z