一、项目背景

二十届四中全会明确提出要“加强网络空间安全能力建设”，构建大网络安全工作格局，近期召开的央行科技工作会议，要求“积极稳妥、安全有序推进金融领域人工智能应用”。贵州农商联合银行旨在破解AI技术赋能网络安全领域，提升省级农商行网络安全服务能力，推动全省农信系统数字化转型，服务地方经济高质量发展的重要举措，提出了融合AI大模型的智能检测与告警闭环安全治理体系。

二、项目分析

1.需求分析

当前，在关键信息基础设施安全保护条例及央行金融科技发展规划等政策强合规驱动下，金融机构网络安全能力建设已从“可选项”变为“必选项”。与此同时，攻击侧已借助大模型技术实现自动化、智能化攻击变种生成，攻防不对等态势持续加剧，防守侧若仍停留在规则依赖阶段，将难以应对新型未知威胁。在此背景下，国内银行业网络安全领域面临两大核心痛点：一是告警质量差，传统规则引擎与特征库匹配导致误报率、漏报率高，人工研判压力巨大；二是通用大模型适配不足，难以适配不同银行差异化的业务规模与网络环境，尤其在区分业务白流量与非规范业务产生的类攻击流量时误报严重。受此影响，地方性金融机构、中小城商银行、省级农商行及农村中小银行机构普遍存在“安全运维难、误报漏报高、改造成本敏感”的困境，亟需一套低成本、轻量化、可闭环迭代、适配私域流量的智能安全治理方案。然而，目前多数银行的大模型应用仍集中在业务与数据运维领域，网络安全场景的AI应用普遍处于实验与观望阶段，市场存在明显的产品空白与落地需求。

2.项目目标

为有效破解上述痛点与市场空白，我行依托现有NDR-SOC-SOAR自动化威胁研判架构，创新提出融合AI大模型的智能检测与告警闭环安全治理体系，并设定以下项目目标：

一是安全运营能力从静态规则响应升级为动态持续优化，建成覆盖检测、反馈、优化全环节的闭环体系，实现安全能力的自适应进化。二是威胁检测能力从单一规则判断升级为多维智能融合，实现对多种威胁的综合覆盖。三是告警质量显著提升，人工研判压力大幅降低，从根源上解决通用模型带来的高误报问题，告警精准度深度贴合行内实际业务场景。四是安全升级改造成本大幅降低，具备高兼容性与推广性，在不改变现有设备拓扑的前提下完成智能能力引入，支持主流异构算力环境部署。五是形成可复制的中小银行AI安全运营范式，为地方性金融机构、中小城商银行、农村中小银行提供可落地、可推广的标杆方案。

三、创新点

1.业务创新点

我行在本项目未完成以前，网络安全防御体系主要依靠已知威胁特征匹配技术的原理进行威胁研判处置，因此存在威胁识别覆盖度不足、告警误报率高、人工处置难，运营数据无法量化、无法持续优化运营能力的特点，对此我行针对以上问题创新性的提出了“采集—治理—特征—推理—融合—告警—训练—更新”的一体化建设思路，在以增量建设、平滑演进的实施思路上，低成本的解决了特征匹配技术带来的一系列难题。

图1.创新体系整体架构部署示意图

（1）安全运营闭环创新：构建面向金融场景私域流量智能安全检测的闭环运营模式

针对我行安全运营中告警误报率高、风险漏判率高、人工研判压力大等核心痛点，引入AI智能检测节点，通过SOAR研判结果回传完成样本标注，构建“检测-反馈-优化”全链路闭环运行机制，推动安全能力从静态规则响应向动态持续优化转变，全面提升我行安全运营闭环管理水平与持续改进能力。基于我行私域流量开展模型专属训练与持续迭代，不仅实现AI检测能力的稳步进阶，更从根源上杜绝通用模型带来的高误报率问题，深度贴合行内现行安全防御机制，打造适配金融场景的专属智能安全防护体系。

（2）安全运营质效创新：推动安全能力由“告警数量型”向“告警质量型”转变

本项目聚焦告警有效性与运营实效提升，通过大模型自学习强化高风险事件识别、告警筛选和运营支撑能力，有效减少了我行低价值告警和重复性人工工作，推动了安全运营从关注告警数量向关注告警质量、处置效率和实战价值的转变。

（3）安全建设模式创新：以低成本改造方式实现现网安全能力智能升级

基于项目坚持增量建设、平滑演进的实施思路，采用不改变原有安全体系和现网架构的方式，仅通过扩展NDR节点，补充智能分析与闭环优化能力，达到了存量安全能力与智能检测能力有机融合、整体落地方案具备较强兼容性、实用性和推广性的建设效果。

2.技术创新点

基于传统安全体系中检测能力单一、威胁识别准确性不足、能力更新滞后、部署适配性不强以及安全成效难以量化评估等痛点，我行提出了模型融合智能检测、检测—标注—训练—发布持续学习闭环、统一部署与异构推理适配、量化效能评估等方案方法，解决了复杂威胁场景下识别能力不足、安全能力难以持续演进、工程落地适配困难以及建设成效不易验证的问题。

（1）安全闭环架构创新：建立覆盖采集、治理、推理、告警、训练的五层闭环技术架构

围绕安全能力的持续演进，项目设计并实现了数据采集层、特征提取层、检测引擎层、告警管理层和训练管理层五层架构，实现了从流量采集、字段治理、特征构建、模型推理、模型融合、告警输出到样本回流、模型训练和版本更新的全链路打通，将检测结果、反馈信息和模型优化纳入统一闭环，形成了可持续迭代的能力更新机制，突破了传统安全系统一次建设、长期静态的局限，使系统具备随威胁变化持续提升检测能力的自适应特征。

图2.安全告警全周期闭环处置架构示意图

（2）安全检测能力创新：构建检测内核的模型融合智能安全检测体系

本项目聚焦威胁检测内核能力的提升，摒弃对现有安全能力的简单叠加，将规则检测与BERT/Qwen文本分类模型进行协同融合：规则检测负责已知攻击的快速命中，文本分类模型负责URL、Host、User-Agent、DNS Query等语义特征识别，从而实现了对已知攻击、未知变种攻击、语义型威胁和行为型威胁的综合覆盖，推动了安全检测由单一规则判断向多维智能判断的演进。

（3）安全部署工程创新：形成模型部署与异构推理的安全工程实现路径

在工程实现上，本项目注重统一部署、灵活适配和持续演进，使用PyTorch完成模型训练，并通过ONNX统一模型导出、ONNX Runtime实现推理部署，可同时支持CPU、GPU、NPU等异构算力环境，形成了兼顾实施效率、部署适配、后续扩展和模型效果、推理效率的工程路径，为智能检测能力在不同算力环境、不同业务场景中的落地应用提供了较强支撑。

（4）安全效能验证创新：在威胁场景上形成可量化的安全性能提升目标

立足于AI安全能力建设与量化验证相结合，项目围绕关键威胁场景建立可评估、可对比、可持续优化的目标体系，提出了一组可量化的核心指标：AI告警降噪率达到76%以上，误报率平均下降30%，漏报率下降20%，使创新成果不仅体现在理念和方法上，也体现在可衡量、可验证的安全效能提升上，体现出项目不仅有技术创新，而且具备明确的效果验证路径。

图3.行内原始告警数量（一天143278条）

图4.经过模型降噪后数量（一天33936条）

图5.AI告警对比图-原始未识别，AI识别出

图6.AI告警与规则告警对比

四、项目技术方案

1.技术方案

本项目面向我行全流量安全检测场景，采用“规则检测+文本语义分析”的模型融合方法，在四台NDR探针基础上AI智能检测节点，与SOC、SOAR协同形成闭环。项目重点解决传统规则式检测对变种攻击、弱特征攻击、异常行为攻击识别能力不足，误报高，漏报高，人工运营压力大等问题，形成覆盖“采集—治理—特征—推理—告警—回传—训练—更新”的智能检测新成果，实现我行安全能力从静态规则触发向智能持续优化升级。

（1）系统业务架构

系统业务架构围绕“检测、运营、反馈、优化”展开，前端由四台NDR探针分别覆盖互联网出口、两个数据中心、广域网链路，用于旁路采集和还原网络流量；中间由AI智能检测节点完成字段治理、特征构建、模型推理、模型融合、告警聚合和告警输出；后端由SOC承接告警展示和运营分析，由SOAR进行自动化研判和处置，并将标注结果回传至AI训练管理模块，形成业务闭环。该架构既保留原有安全运营体系，又补充AI智能判断能力。

图7.AI驱动NDR智能检测系统业务架构

（2）系统应用架构或总体架构

系统总体采用五层架构，包括数据采集层、特征构建层、检测引擎层、告警管理层和训练管理层。数据采集层接收探针输出的标准化事件；特征构建层完成字段解析、清洗、聚合和多类型特征生成；检测引擎层运行规则检测和BERT/Qwen文本分类；告警管理层完成告警融合、归并和攻击链视图输出；训练管理层负责样本池维护、模型训练、版本管理和模型发布。各模块上下衔接，形成端到端智能检测总体架构。

图8.AI驱动NDR智能检测系统总体架构

（3）系统数据架构

系统数据架构体现为“探针数据接入—事件标准化—字段治理—特征加工—模型推理—告警输出—标注回流—训练更新”的流转链路。原始流量和安全事件首先由NDR探针转化为标准化JSON日志，再由字段治理模块进行清洗、补全和统一映射；其后按检测目标构建流量统计特征以及文本语义特征，进入推理引擎生成检测结果；告警结果输出到SOC后，由SOAR研判形成标注数据，再回流至训练管理层进行样本沉淀和模型迭代。数据在系统内部按治理、推理、反馈三类路径循环流转，支撑持续学习。

图9.AI驱动NDR智能检测系统数据架构

（4）系统技术架构

系统技术架构上，前端为四台NDR探针，负责全流量采集；中间部署AI智能检测节点，可基于GPU或NPU运行字段治理、特征构建、模型推理、模型融合、告警聚合、训练管理等核心模块；外围对接SOC和SOAR系统，分别承接告警展示运营和标注反馈。模型训练采用PyTorch，部署采用ONNX统一导出，推理采用ONNX Runtime，支持CPU、GPU、NPU异构运行环境。检测引擎采用“规则+文本模型”协同架构，兼顾已知攻击快速识别、语义型威胁检测和行为型异常识别，具备较强的工程可落地性与可扩展性。

图10.AI驱动NDR智能检测系统技术架构

（5）系统安全架构或安全管控机制设计

系统安全架构重点围绕流量采集安全、访问安全、运行安全、模型安全和闭环管控安全展开设计。采集侧通过NDR并采用旁路镜像接入方式，不改变生产网络链路；访问侧通过身份认证、权限控制和操作审计保障系统访问合规；运行侧通过模块隔离、服务监控和异常告警保障平台稳定运行；模型侧通过样本回流校验、模型版本管理和更新回滚机制保障模型迭代安全；闭环管控侧利用SOC与SOAR进行告警确认、处置留痕以及反馈可追溯机制，保障检测闭环全过程可控。基于此，形成覆盖采集、访问、运行、模型和运营闭环的安全管控体系。

图11.AI驱动NDR智能检测系统安全架构

2.功能目标

系统主要功能目标如下：

（1）实现互联网出口、数据中心东西向流量、灾备链路等关键场景的全流量安全检测。

（2）实现字段清洗、统一映射和多维特征构建，支撑复杂威胁识别。

（3）实现规则检测以及文本分类模型协同工作，覆盖SQL注入、XSS、命令执行、恶意域名、异常登录等场景。

（4）实现告警融合、归并和高质量输出，降低低价值告警数量。

（5）实现SOC与SOAR标注回流、样本池沉淀、模型训练和版本更新，形成持续优化闭环。

3.非功能目标

系统非功能目标主要包括：

（1）扩展性：支持新增检测模型、新增探针数据源和新增检测场景，五层架构便于模块化扩展。

可用性：在不替换原有NDR设备、不改变现网结构前提下平滑接入，降低部署风险。

安全性：采用采集、分析、运营、反馈分层设计，控制数据流向和模块边界，保障系统运行安全。

可靠性：通过样本回流、模型管理和版本更新机制，确保模型可持续优化和稳定迭代。

（2）可移植性：基于ONNX与ONNX Runtime，支持CPU、GPU、NPU等异构环境部署。

（3）系统性能

系统部署采用双路服务器架构，硬件配置为英特尔至强金牌5218处理器2颗、内存256GB、960GB固态硬盘2块（系统盘和模型盘）、4TB SATA硬盘10块（日志盘）；训练侧配置NVIDIA RTX 3090 24GB显卡1块，推理侧配置NVIDIA RTX 2080 Ti 22GB显卡1块。基于上述配置，系统具备支撑字段治理、特征加工、模型训练、在线推理、日志留存和告警分析等任务的运行能力，可满足金融场景下全流量安全检测的工程部署需求。系统支持7×24小时持续运行，支持模型并行检测和日志长期留存；单机可完成采集数据接入、特征处理、模型推理、告警输出和样本回流的闭环处理。存储方面，2块960GB固态硬盘可满足系统运行、模型部署和中间数据处理需求，10块4TB日志盘可提供约40TB原始存储空间，能够满足较大规模日志留存和分析需求。算力方面，RTX 3090主要承担模型训练任务，RTX 2080 Ti主要承担在线推理任务，可支撑智能检测模型的日常运行与迭代更新。整体上，系统具备较好的稳定性、扩展性和持续运行能力，能够满足项目当前建设规模下的性能要求。

五、项目过程管理

1.项目建设历程

（1）2025年6月30日，项目立项启动，明确以“新增AI智能检测节点+保留原有四台NDR探针”的建设路径，确定与SOC、SOAR协同形成闭环的总体方向。

（2）2025年7月，完成需求分析，梳理当前告警体系在SQL注入、XSS、命令执行、恶意域名等场景中的误报、漏报和人工运营压力问题，明确建设目标和指标提升方向。

（3）2025年8月，完成总体方案和详细设计，形成五层总体架构，明确字段治理、特征构建、模型推理、模型融合、告警聚合、标注回传、模型训练和模型管理等核心模块。

（4）2025年9月至2025年10月，完成系统研发、模型训练、联调测试和上线准备，完成规则检测以及BERT/Qwen文本分类等能力集成，并完成ONNX导出与ONNX Runtime部署适配。

（5）2025年11月，完成试点上线，在现网环境中接入AI节点开展基线对比、效果验证和人工校验。

（6）2025年11月下旬，完成第一批推广应用，覆盖互联网出口流量检测场景。

（7）2025年12月上旬，完成第二批推广应用，覆盖数据中心东西向流量检测场景。

（8）2025年12月中旬，完成第三批推广应用，覆盖灾备专线及双活链路检测场景。

（9）2026年1月20日，完成整体推广应用，形成“检测—反馈—训练—更新”闭环运行机制。

2.项目的组织与实施

该项目采用“统一规划、分阶段建设、试点验证、逐步推广”的实施方式，围绕需求分析、系统设计、研发测试、试点上线和推广应用五个阶段推进。

（1）需求分析和概要设计阶段

2025年6月30日至2025年7月31日，主要完成现网安全能力调研、痛点梳理、建设目标定义和技术路线确定，明确以全流量检测为基础，采用规则检测和文本分类相结合的方法，提升高频攻击场景下的检测准确性和运营效率。

（2）系统详细设计阶段

2025年8月1日至2025年8月31日，主要完成系统总体架构、数据流转链路、模型协同机制和闭环训练流程设计，明确采集层、AI智能检测节点、SOC/SOAR协同关系及样本回流、模型更新机制。

（3）系统编码、测试和上线准备阶段

2025年9月1日至2025年10月31日，主要完成字段治理、特征构建、模型推理、告警聚合、训练管理等模块开发，完成模型训练、融合验证、推理部署和性能测试，并形成上线准备条件。

（4）试点上线阶段

2025年11月1日至2025年11月20日，主要完成AI节点接入试运行、原始告警与AI告警效果比对、SOC人工复核和优化调整，重点验证误报率、漏报率和高风险攻击识别效果。

（5）推广应用阶段

2025年11月21日至2026年1月20日，主要按场景逐步推广应用。第一批覆盖我行互联网出口场景，第二批覆盖数据中心东西向流量场景，第三批覆盖灾备专线与双活链路场景；在推广过程中同步开展标注回流、样本沉淀、模型再训练和版本更新，逐步形成稳定运行的智能检测闭环。

六、运营情况

本项目立足贵州农商联合银行29个重要业务系统安全防护痛点，以AI大模型与NDR、SOC、SOAR深度融合为核心路径，创新采用“存量NDR探针+AI智能检测节点赋能”的轻量化升级模式，无需重构现有网络安全架构，以最低侵入、最快落地、最优复用的方式，实现安全能力的智能化跃迁，完美适配金融机构生产环境严苛的稳定性与合规性要求。项目全面覆盖互联网出口、两个数据中心、广域网链路等核心网络域，构建起全域流量可视、全网风险可控、全链路可防护的智能安全屏障。

在实际应用中，本项目聚焦SQL注入、XSS、命令执行、恶意域名等金融高频高危威胁，依托模型协同检测与智能降噪能力，实现安全检测效能的跨越式提升。其中，AI告警降噪率达到76%以上，误报率平均下降30%，漏报率下降20%，彻底扭转传统安全运营“告警泛滥、研判低效、漏误并存”的困局，推动金融安全运营从“人工被动响应”向“智能主动防御”转型升级，达到了重保期间值守人员下降60%，日常安全监测与日志分析人员需求下降80%的显著成效。

从推广价值来看，本项目打造“全流量采集—数据治理—模型推理—告警闭环—标注回流—迭代优化”的端到端智能安全运营闭环体系，形成标准化、可复制、可规模化推广的金融级安全解决方案。对内可全面覆盖我行各分支节点、业务专区与外联场景，持续深化全域安全防护能力；对外可向地方性金融机构、中小城市商业银行等金融行业输出轻量化智能安全升级方案，为行业构建自主可控、高效智能的网络安全防护体系提供标杆实践。项目沉淀的ONNX异构推理模型、攻击链关联分析能力与闭环运营范式，可成为金融科技赋能网络安全的典型范例，为筑牢数字金融安全底座、护航数字经济高质量发展提供坚实技术支撑。

七、项目成效

本项目打造融合AI大模型的智能检测与告警闭环安全治理体系，依托现有基础设施完成AI核心能力与基础自动化辅助能力的融合落地，实际投入经费84.8万元。

1.经济效益

本项目无直接净利润、实缴税金及创汇类经济效益，核心价值在于地方性金融机构实现“小投入+大成效”的建设模式。项目以AI大模型为核心、NDR（网络检测与响应）为载体，实现网络流量全维度全场景深度检测。依托AI大模型的深度学习与智能分析能力，完成告警智能降噪、风险精准研判，高效剔除海量无效误报告警；NDR作为技术底座，实现全链路网络流量实时采集、深度解析与全面监测，为AI模型提供高质量数据支撑，二者协同打通NDR检测到自动化处置的全链路闭环。项目通过AI大模型替代人工完成重复性告警研判、降噪等工作，大幅优化安全运营人力配置，节约常态化运维成本。同时AI与NDR协同前置识别SQL注入、异常外联、数据泄露以及隐蔽隧道等高风险隐患，快速联动SOAR触发处置流程，规避网络安全事件引发的银行业业务风险、声誉风险等。项目在以下方面实现了显著成果：

（1）误报率下降30%：通过AI智能降噪，大幅减少无效告警，降低安全运营人员人工研判压力；

（2）漏报率下降20%：通过AI智能检测，提升未知威胁识别能力，降低安全事件爆发风险；

（3）AI告警降噪率达到76%以上：通过模型协同检测，实现告警质量的跨越式提升；

（4）运维人力成本节约：AI大模型替代人工完成重复性告警研判、降噪等工作，重保期间值守人员下降了60%，日常安全监测与日志分析人员需求下降了80%，大幅优化了安全运营人力配置。

随着AI模型持续迭代、NDR检测场景与精度不断提升，项目风险识别能力与处置效率稳步提高，长效经济效益将逐步规模化释放。

2.社会效益

项目依托AI实时监测、全域感知、全程留痕、可溯可查能力，补齐人工运维在合规管控、风险预警等方面的短板，全面提升机构合规履约水平，筑牢合规经营底线。通过AI前置化、前瞻性风险预警构建主动防御屏障，推动安全防护从“被动处置”向“主动预防”转变，大幅降低我行安全事件爆发概率，持续提升网络安全韧性与风险抵御能力，切实保障全省客户资金安全，助力我行数字金融安全高质量发展。

3.管理效益

我行直击传统安全运营依赖人工、效率低下、流程散乱、响应滞后等痛点，通过AI全域风险识别、精准研判、智能降噪与自动分级，构建威胁全流程标准化治理体系，解决人工操作易疏漏、处置标准不统一、告警泛滥难处理等问题，显著提升安全运营闭环效率，推动我行运维管理向规范化、精细化、智能化转型。同时，AI全面替代重复性、低价值的告警筛查与研判工作，将安全运营人员从繁重机械劳动中解放，聚焦高级威胁狩猎、深度漏洞分析等高阶任务，实现安全人力资源最优配置与价值最大化，切实达成降本增效目标。同时，满足银行监管机构相关信息安全管理工作要求，杜绝合规管控不到位导致的监管处罚。

4.其他潜在效益

我行以AI为核心引擎，实现AI与NDR深度融合，能够打造可复制、可推广、可迭代的金融级智能安全运营范式，为地方性金融机构、中小城商银行、农村中小银行机构网络安全智能化转型提供成熟实践参考，引领行业从人工驱动向智能驱动升级。项目沉淀的AI大模型优化、自适应威胁检测等核心技术成果，可横向拓展至多类安全防护场景，为我行全域安全智能化建设筑牢技术根基，助力构建一体化、协同化、自主可控的现代智能安全防护体系。

八、经验总结

1.项目建设经验

本项目打造融合AI大模型的智能检测与告警闭环安全治理体系，依托现有NDR-SOC-SOAR基础设施完成AI智能检测节点与基础自动化辅助能力的融合落地。

（1）坚持增量建设、平滑演进的实施路径。在不改变原有设备拓扑与安全体系的前提下，仅通过新增AI智能检测节点，实现存量安全能力与智能检测能力的有机融合，确保建设期间业务连续性与安全运营不间断。

（2）构建全链路闭环迭代机制。打造“采集—治理—特征—推理—融合—告警—训练—更新”闭环体系，将检测结果、反馈信息和模型优化纳入统一管理，突破传统安全系统“一次建设、长期静态”的局限。

（3）采用规则检测与大模型语义推理双层融合架构。规则检测负责已知攻击快速命中，BERT/Qwen文本分类模型负责URL、Host、DNS Query等语义特征识别，实现对已知攻击、未知变种、语义型威胁和行为型威胁的综合覆盖。

（4）以私域流量驱动模型持续进化。基于行内私域流量开展模型专属训练与迭代，通过样本池、标注回流和模型版本管理实现检测能力稳步进阶，从根源上杜绝通用模型带来的高误报问题。

2.推广经验总结

（1）立足行业共性痛点明确推广价值。地方性金融机构、中小城商银行及农信系统普遍面临“安全运维难、误报漏报高、改造成本敏感”的共性困境。本项目“低成本、轻量化、可闭环迭代”的特点精准回应上述痛点，具备向同类机构推广的坚实基础。

（2）轻量化改造路径有效降低推广阻力。系统稳定性与业务连续性保障是金融机构技术选型的核心关切。本项目仅新增AI检测节点、不改动原有设备拓扑的部署方式，最大限度降低了机构用户的技术决策门槛与实施风险。

（3）量化成效为推广提供有力佐证。项目已实现AI告警降噪率76%以上、误报率下降30%、漏报率下降20%，重保期间值守人员下降60%，日常安全监测与日志分析人员需求下降80%的显著成效，的可量化成果，形成了“问题—方案—效果”的完整论证闭环，可有效增强同类机构对项目成效的信任度。

（4）标准化交付方案破解落地适配难题。项目通过ONNX统一模型导出与ONNXRuntime异构推理框架，形成了可适配CPU、GPU、NPU等不同算力环境的标准化部署方案，解决了不同规模、不同技术栈机构的落地适配问题。

（5）合规与战略价值双轮驱动推广落地。项目积极响应关键信息基础设施安全保护条例及央行金融科技发展规划等政策要求，在解决技术难题的同时，为机构满足监管合规与推进数字化转型战略提供有力支撑，提升了项目在机构决策层面的影响力。