联通数科如何用AI解决网络安全告警过载、人工研判效率低问题的案例

联通数科（中国联通数智科技有限公司）是中国联通旗下专注于数据智能与数字化转型的科技子公司，承担着"网络安全国家队"的重要使命。在全球网络安全威胁持续升级的背景下，企业面临的核心挑战是：海量安全告警造成"告警疲劳"，安全运营团队精力被低价值告警大量消耗，难以聚焦高价值威胁的深度分析与处置。

联通数科凭借在通信运营商领域多年积累的安全运营经验，决定以AI技术为核心，自研网络安全大模型系统，将资深安全专家的经验深度固化为可复用的安全智能体，构建覆盖安全运营、攻防对抗、安全代码、数据安全的智能防护体系。

传统安全运营模式下，安全设备每天产生的告警数量庞大，其中绝大多数为低价值噪声（如测试流量、正常访问等），安全分析师需要逐一排查，效率极低。据行业统计，安全团队在告警处理上花费的时间中，有超过70%被低价值告警消耗。

每条告警的研判需要安全分析师综合判断攻击类型、威胁等级、资产重要性等多维信息，人工研判平均耗时5-10分钟，且因分析师经验水平不同，结果准确率波动较大，难以标准化。

安全运营需要定期输出日报、周报、月报，依赖人工从多个系统导出数据后整理，耗时长、格式不统一，难以满足实时安全态势汇报的需求。

资深安全专家的经验是组织最宝贵的资产，但这些经验通常分散在个人脑中，无法系统化、规模化地赋能整个团队。

联通数科自研网络安全大模型系统，以"大模型、智能体、知识库、插件工具"四大核心能力为引擎，构建智能安全运营体系：

将资深安全专家的研判逻辑固化为可复用的安全智能体，通过大语言模型理解自然语言查询，智能体执行具体安全任务，形成"理解—决策—执行"的闭环。

构建覆盖攻击类型、资产指纹、威胁情报等多维度的安全知识库，智能体可随时检索并应用知识，确保研判结果的一致性与专业性。

针对不同安全场景（边界防护、内网监控、代码审计、数据安全等），开发专用插件工具，实现精准防御。

系统持续从实际运营数据中学习，不断优化模型参数，构建能够自我学习、持续进化的动态防御新范式。

该系统成功入选北京市2025年第二批首台（套）重大技术装备目录，成为网络安全领域唯一入选项目，标志着中国联通在网络安全领域的技术实力与创新能力达到行业领先水平。

系统采用"大模型+领域知识库+安全智能体"三层架构：底层大模型提供语义理解和推理能力；中间层安全知识库封装攻击特征、资产属性、业务上下文等专业知识；顶层安全智能体调用各类插件工具执行具体任务。

告警降噪基于机器学习分类模型，通过学习历史告警数据，自动识别低价值告警并过滤；智能研判基于NLP语义分析与威胁图谱关联分析，综合研判告警的真实威胁程度。

安全知识库以结构化数据库为底层，集成威胁情报API、漏洞库、资产库等多源数据，通过向量检索实现语义匹配，确保智能体可快速获取与当前告警相关的所有上下文信息。

联通数科的实践证明，AI不是取代安全分析师，而是将分析师从重复性劳动中解放出来。降噪率超99%意味着安全团队可以将精力集中在真正需要人工判断的高价值威胁上，这是AI赋能安全的最佳切入点。

通用安全产品难以满足大型企业的个性化需求，联通数科选择自研路线，将自身多年积累的安全运营经验系统化、工程化，构建起竞争对手难以复制的技术壁垒。

联通数科没有追求"大而全"的AI安全方案，而是聚焦"告警降噪"这一高频痛点，单点突破、快速见效，为后续全面智能化奠定了基础。