总结告警的智能体与关闭安全案件的智能体，交付的是不同产品。后者能够减少分析师队列里的工作，但也必须回答更难的问题：哪些证据允许哪些动作？Sophos 的 Daybreak 案例把报告中的速度与运营责任联系起来，因此有用，同时仍留下重要可靠性问题。
Sophos 报告，在智能体处理的案件中，调查和响应约需 89 秒，而此前平均约 38 分钟；AI 端到端解决托管检测与响应案件的比例为 52%。这些是公司报告，不证明每个客户事件都在 89 秒关闭。相同响应与关闭数字已出现在 2026 年 5 月 Sophos 公告；10 月 OpenAI 案例增加部署细节，并非建立全新测量。
固定工作单位
询问计时从哪里开始：原始告警、关联后的案件、智能体启动，还是分析师验证？也要问结束在哪里。遏制一个失陷终端，不一定等于完成修复、恢复，或清除所有访问路径。只有起点、停止条件及合格案件类别一致，速度比较才有意义。
Sophos 的智能体在遥测经过过滤和关联后工作，并非独立处理每个原始事件。系统汇集客户背景、检测、指标和威胁情报，再执行计划、行动和复查循环。可靠遥测与成熟操作手册也是成果的一部分；普通内部安全团队不能假设买同一模型就能继承这些运营条件。
将客户授权映射到智能体动作
Sophos 描述三种响应模式。Notify 模式调查并建议，由客户行动；Collaborate 共同决定行动；Authorise 允许 Sophos 在约定边界内直接响应。无论人还是智能体执行，都适用这些规则：快速判断不能悄悄扩大客户授权。
要求提供动作矩阵，覆盖可逆性、业务影响、数据访问和强制升级。已知重复案件可在监督下运行，不必每步批准；新型模式、高风险选择及缺乏业务背景的情况，需要人直接参与。剩余 48% 不自动等于自动化失败，其中可能正是需要专家判断的困难案件。
将关闭率与纠正率配对
报告中的时间减少 96% 和关闭 52%，都没有披露误报、漏报、重开案件、客户撤销或分析师纠正。应要求按案件类别提供这些指标，而不只是总数。较低自动化比例可能反映更严格的安全门槛或更困难的负载，不代表产品较差。
抽样复查自动关闭案件，测试对抗性证据、不完整遥测和看似攻击的合法管理活动。模型生成的发现，在触发重要动作前需要经过验证的支持。审阅者必须有时间、证据和权限阻止响应；流程里某处放一个人，并不能防止习惯性批准或自动化偏见。
扩权前先试点受限结果
选择高频、证据明确、响应可逆且升级规则成熟的案件。将总分析师投入、检测质量、不必要中断、重开和恢复，与现有流程比较。保留证据、工具动作、决策负责人和客户授权，确保智能体结束后仍能重建案件。
除性能外，还要审查数据处理地点、保留时间、模型组件访问和第三方遥测合同。只有配套评估、回滚及可追责批准，才扩大用例。实用采购标准不是最高自主关闭比例，而是在明确风险水平下适当关闭、错误可测，并在自动响应错误时有清楚的责任人。