先看证据
一条普通告警如何变成更大的调查
OpenAI于2026年10月14日发布的案例介绍了Block如何将AI用于漏洞发现、检测和响应。Block是Square、Cash App和Afterpay背后的公司，案例聚焦的是其安全团队如何借助Daybreak等AI系统处理调查工作，而不是面向消费者的新安全产品。材料中的一个起点，是一条看似轻微的笔记本电脑策略告警。
Block称，模型在复核过程中追踪到证据里偶然出现的指标，再把它与身份日志关联，因而发现了范围更大的问题。这个例子值得读，不是因为模型单独“看见了”攻击，而是因为调查线索原本散落在不同产品的日志里，关联之后才显出整体。安全运营的瓶颈由此不只是读完一条告警要多久，也包括团队能否把已有证据拼成可追查的路径。
证据留存让历史回放变得划算
Block称，每次调查都会保存原始查询证据，因此团队可以把拟议中的检测规则变更回放到七个月的生产遥测上，耗时不到一小时。过去，类似验证需要人工重新查询数百个旧案例，工作量大到往往很少真正进行。这里的变化不是简单地把一次查询加速，而是降低了反复检查规则的成本。
当回放变得可行，团队就有机会在调整规则后检查它与历史证据的关系，而不必只依赖少量新告警来判断效果。不过，这种能力建立在证据已经保存且可以使用的前提上。相关日志如果缺失、查询证据无法复用，或者不同系统之间无法建立关联，模型也不能凭空补出原本没有记录的信息。
工作流决定模型能做什么，也决定谁负责
Block的安全工作流建在Daybreak之上，会根据任务选择合适的模型，并为人工接管和代理之间的相互验证留出环节。团队还会结合内部基准和实际表现调整做法。Block安全负责人James Nettesheim把AI形容为能一起处理问题的新队友，这个说法对应的不是完全自主运行，而是模型可以应对较模糊、定制化的任务，人则提供组织背景并判断何时需要介入。
漏洞修复的数字尤其需要按流程理解。OpenAI转述称，在一次近期红队演练中，从提交高层次漏洞描述到模型自动提出补丁用了18分钟。案例描述的后续还包括确认漏洞可利用性、验证修复，并由人在环路中指导和部署代码变更。因此，18分钟指向的是补丁建议的生成时间，不是漏洞已经完成审查、验证并上线的时间。
几组效率数字，不能混成一个节省值
Block报告的运营数字包括告警分流吞吐量提升50%，情报收集与调查增加50%。案例还称，减少误报分流每季度交还约600分析师小时，系统每季度完成约1,100分析师小时的调查工作。后两项说的是不同事情：600小时是释放给团队的时间，1,100小时是系统完成的调查工作量，不能把后者直接写成节省的人力。
另一个红队演练例子称，Daybreak约用两小时就从少量内部系统线索串联出攻击路径，涉及SQL注入、权限提升和凭证枚举等环节，OpenAI称人工红队人员通常需要数天。这个对比能说明案例希望展示的速度差，但公开材料没有给出演练方案、对照组或独立复核结果。各项数字也没有附带完整测量方法、样本量和误差范围，因此应视为OpenAI转述的Block案例结果，而非可直接套用的行业基准。
落地起点应是证据链，而不是模型采购
这套做法的实际启示，是先找出哪些安全任务因为成本太高而被跳过。历史告警回放、误报深查和跨日志关联都可以成为候选，但每项任务都要先说明需要哪些证据、证据保存多久、由谁复核，以及什么结果必须交回人工处理。模型选择和任务路由只有放进这套责任安排里，才有明确的工作边界。
现有材料没有披露Block如何授权模型访问身份与端点日志，也没有提供独立审计、测量口径或修复后的安全效果数据。因此，其他团队可以借鉴的是流程问题，而不是照搬Block报告的提升幅度：先为一类可回放的调查建立内部基线，保留原始证据，再把人工审查和接管条件写清楚。若无法确保日志可用、结果可验证且责任有人承担，缩短生成时间本身并不能证明防御能力已经提升。