“安全行業對大模型的探索已從初期的快速集成模式，邁向更縱深的”實戰化”階段。這要求我們要跳出通用模型的框架，深入底層技術創新，打造真正屬于安全領域的垂直大模型”，360集團首席科學家、數字安全集團CTO潘劍鋒在ISC.AI 2025未來峰會上強調。會上他結合360安全大模型的實踐成果，系統闡述了基于人腦“快慢思考”方法論重構大模型與智能體能力邊界的創新路徑，為行業發展提供了全新思路。
安全大模型進入“深水區” 底層創新成必然要求
近年來，安全行業對大模型的探索經歷了顯著轉變。從初期“通用大模型+安全知識庫+安全工具”的快速集成模式，逐步向專業化縱深發展。盡管初期模式在報告生成、數據分類分級等場景中取得了初步成效，但隨著應用的深入，安全領域的獨特性對技術提出了更高要求。一方面，安全領域的高價值專業數據需要實現真正的 “學進去、用起來”，完成深度轉化與吸收;另一方面，安全專家經驗需在用戶本地深度落地，對精準性、無二義提出了新挑戰。
基于這些行業需求，360自2023年起便以人腦“快慢思考”方法論為核心，錨定安全場景的任務特性，構建差異化技術路線，以應對“深水區”的各種挑戰。
“快慢思考”方法論——重構安全大模型的能力邊界
所謂“快慢思考”方法論，簡而言之就是將安全場景中的各個子任務劃分為“快思考任務”或“慢思考任務”，分別進行針對性處理后再實現綜合應用，從而實現安全大模型能力邊界的重構。
具體而言，“快思考”對應人類95%的日常潛意識決策，依賴海量訓練形成“直覺判斷”，大模型擅長通過海量標簽數據挖掘統計規律，在概率意義上掌握學習樣本所反映出來的一些隱含知識，可以看出“大模型擅長快思考”;“慢思考”對應人類“深思熟慮”的多步推理，需結合事實性知識與外部工具，在安全領域體現為復雜威脅溯源、多維度關聯分析等深度推理任務，現階段主要通過安全智能體的方式來解決。在這兩大方向上，360以實戰經驗為基礎，不斷實現創新型突破。
安全大模型實戰突破：三級跳式發展實現效能躍升
在安全大模型實戰探索中，潘劍鋒介紹，360始終聚焦各類安全任務，以“在專業場景中實現小參數模型能力遠超通用大尺寸模型”為目標，在實戰效果與落地能效上持續突破，整體經歷了三個發展階段。
第一階段聚焦單個安全任務，探索垂直模型結構與訓練方法創新。針對安全任務在數據、任務屬性及實戰需求上的獨特性，360為不同任務定制專用模型并開展專項訓練。以終端行為多模態研判模型為例，潘劍鋒解釋，從海量EDR日志中尋找攻擊痕跡，如同在成千上萬頁文字記錄中定位一個目標，難度極大。為此，360創新思路，將枯燥的EDR日志轉化為“終端行為監控錄像”，每條操作對應一幀畫面，讓AI以“看錄像、看精華”的方式完成分析，最終實現了“又準、又快、又省錢”的實戰效果。數據顯示，該模型對EDR行為的研判與歸因準確率達99.42%。
隨著產品化落地深入，多模型并行導致參數過大、GPU消耗過高、應用成本攀升，且單一任務需多種模型能力協同。為此，360啟動第二階段研發，推出“多專家協同(CoE)”大模型架構。該架構以大基座為基礎，可像搭積木般插入不同專家分區，多數參數固定，任務執行時無需激活所有參數，有效解決多模型協同難題，實現集約化應用。
第三階段聚焦訓練框架創新。為解決多機多卡環境下訓練成本高昂的痛點，360主導(聯合伯克利BAIR實驗室)推出業界首個開源的RL-LoRA訓練框架，并升級為支持“持續進化”的LoRA訓練框架。潘劍鋒表示，該框架一方面使顯存和帶寬開銷呈數量級降低，實現極致“省”;另一方面，節省的顯存支持更大的Batch Size，使訓練效率翻倍、周期大幅縮短，實現極致“快”。
安全智能體落地實踐：從“復刻經驗”到“自主決策”的智能進階
在安全智能體的實踐中，360以安全智能體為載體將安全專家經驗、專業知識及系列工具智能化地落地到客戶端，“精準性、無二義性”是實戰化應用關鍵，其發展經歷兩階段，實現從“復刻經驗”到“自主決策”的進階。
第一階段利用Workflow精準落地復雜的安全專家經驗。通過編排平臺整合360獨有的終端狩獵、APT威脅溯源等專家經驗，結合大模型能力與安全工具，實現“媲美專家”的實戰效果。但潘劍鋒也指出，高階安全專家經驗的落地并達成實戰化效果，過程復雜且技術門檻高，是一項系統化工程。
為此，第二階段通過擴展模型推理能力，提升智能體自主規劃與推理能力。360創新構建“蒙特卡洛聯想樹智能體 ”，通過“AI專家團隊”使其擺脫單個AI局限，具備自主規劃、試錯、糾錯能力，在復雜環境中保持極高的可靠性、可控性和可信性，且推理路徑清晰可查，成為能戰略性思考、動態調整并解決復雜問題的AI系統。
潘劍鋒表示，安全大模型是安全智能體高速發展的基礎，360 將持續在這一領域創新，并不斷與業界共享成果，共同推動安全大模型行業邁向更深層次的發展階段。
