微軟開放 Security Copilot 早期訪問：直接嵌入 365 Defender

半夜三點被警報叫醒的網路安全分析師，最頭疼的往往不是病毒本身，而是要在一堆亂七八糟的日誌裡拼湊攻擊全貌，還得手寫複雜的資料庫查詢語句。

針對這個痛點，微軟在 10 月 19 日正式面向符合條件的客戶推出了 Security Copilot 的早期訪問計劃（Early Access Program）。這款基於大語言模型的安全助手在今年 3 月剛亮相時還是個獨立工具，而這次更新把它直接塞進了微軟的安全主陣地。

搬進 Defender，指令碼逆向變得像聊天一樣

這次最大的變動，是 Security Copilot 直接嵌入到了 Microsoft 365 Defender 擴充套件檢測和響應（XDR）平臺裡。

以前安全團隊要在各種獨立後臺之間跳來跳去，現在直接在單一介面裡就能幹活。微軟給出的內測資料顯示，預覽期使用者在核心安全運維任務上最多能節省 40% 的時間。

它最實用的變化在於把高門檻的髒活自動化了。比如以前做威脅排查，分析師必須熟練手寫 Kusto 查詢語言（KQL），現在直接打字問一句「看看最近有誰從異地登入」，模型就會自動轉成正確的 KQL 語句。

面對駭客最常用的混淆 PowerShell 指令碼，以前往往需要資深的應急響應專家去肉眼逆向，現在 Copilot 能即時拆解程式碼邏輯並把攻擊流程畫出來。處理完攻擊後，它還能一鍵生成彙報給董事會看的大白話總結報告。

另外，微軟還把每天處理 65 萬億條安全訊號的 Defender 威脅情報（Defender Threat Intelligence）及其 API 免費塞給了 Copilot 使用者，不再額外收錢。企業如果找了外部的託管安全服務商（MSSP），也能直接把他們拉進同一個 Copilot 環境協同排查。

參與內測的金融機構 Fidelity National Financial 提到，他們看重的是獨立租戶機制保護了企業 Prompt 隱私，同時能直接把已有微軟產品的安全資料串起來。

為什麼重要

對企業安全團隊來說，這個工具最實在的價值不是取代專家，而是拯救快被雜活淹沒的一線防守人員。哪怕是剛入行的新手，也能借它看懂高階指令碼和複雜查詢，把防禦響應時間從幾天縮短到幾分鐘。如果你的企業已經深度綁定了微軟 365 體系，現在去申請早期測試是非常值得的，畢竟光是附送的威脅情報 API 就省下了一筆預算。

從行業競爭來看，微軟在下一盤很大的棋。很多專門做安全分析或威脅情報的小廠商，以前靠賣獨立工具和專家服務賺錢，現在微軟直接在底層作業系統和辦公套件裡內建生成式 AI，甚至打包送情報，這幾乎是在用生態體量打價格戰，會逼著其他 XDR 廠商加速整合自家的模型能力。

我們認為，微軟這一步走得相當狡黠。安全行業長期面臨極其嚴重的人才荒，微軟不談高大上的全自動防禦，而是聰明地把 AI 定位成降低分析門檻的輔助者。不過這種繫結的隱患也很明顯：把所有安全防線都押注在單一巨頭的生態裡，一旦模型出現幻覺或者誤判，企業自身的安全盲區也會被同步放大。