Gartner 预测，到 2028 年，安全运营中心 (SOC) 将发生结构性转变，网络安全领域中工程师的数量将比分析师多出 50%。这一变化是由人工智能代理 (AI agents) 处理日常警报任务的能力所驱动的，这将终结将“警报分类”视为这些中心核心职能的时代。
分析师角色的转变：从分类到案例所有权
根据 Gartner 的报告，SOC 的团队规模不会缩减，但其任务性质将会改变。分析师将不再扮演处理海量警报的“分类员”(Triage) 角色，而是转变为“案例所有者”(Case Ownership)。在这种新模式下，人工智能代理负责对警报进行初步调查，而人类分析师则负责验证结果、选择适当的响应，并向决策者传达可用选项。
这种转变需要新的技能；分析师将不再从零开始构建结论，而是会花费更多时间在批准人工智能得出的结论之前评估其准确性。
安全运营工程 (SOC Engineering) 的兴起
报告指出，“检测工程”(Detection Engineering) 的概念正在扩展，成为一种更广泛的专业，即“安全运营工程”。工程师的任务将不再局限于编写代码规则，还将涵盖以下先进技术领域：
- 提示词设计 (Prompt Design)：制定人工智能代理用于调查安全环境的指令和上下文。
- 工作流测试 (Workflow Testing)：针对过往事件检查代理的工作流程，以确保其在实际运行前的效率。
- 人工智能输出验证：定期监控代理的决策与人类评估的一致性。
- 版本管理 (Versioning)：将指令和规则的变更视为可追踪和可恢复的代码进行处理。
绩效衡量标准的改变
Gartner 建议 SOC 经理停止依赖警报量 (Alert Volume) 或关闭率等指标，转而采用侧重于决策质量的指标，包括：
- 案例准确性 (Case Accuracy)：专家审查与代理或分析师所做决策的一致程度。
- 周期时间 (Cycle Time)：从首次信号发出到做出最终决策并响应所花费的时间。
- 决策置信度 (Decision Confidence)：衡量支持每个决策的证据强度及其稳定性。
这对新员工意味着什么实际变化？
这一转变对培训初级分析师 (Tier 1) 提出了重大挑战；传统的培训依赖于重复处理警报来积累经验，而未来这将由人工智能承担。为了弥补这一差距，报告建议采取一些策略，例如让初学者研究代理日志 (Agent logs) 以了解得出结果的过程，或者让他们尽早负责低风险案例，以提升他们的决策能力。
为什么这条新闻很重要？
该报告向网络安全专业人士发出了明确信号：传统的“分类和监控”技术技能的市场价值正在下降，取而代之的是“工程和验证”技能。这种变化不仅仅是工作的自动化，更是对在安全运营中心工作意义的全面重新定义；附加值将从“发现警报的能力”转移到“设计能够精确发现和管理警报的系统能力”。