邮件安全自动化编排（SOAR）引入 AI 决策时，如何划定自动化与人工的界线？

NIST SP 800-61 Rev.3 于 2025 年 4 月发布，取代了 2012 年的 Rev.2。其官方摘要说明：本出版物旨在协助组织把网络安全事件响应的建议与考量，贯穿到 NIST 网络安全框架（CSF）2.0 所描述的网络安全风险管理活动之中；这样做有助于组织为事件响应做好准备、减少所发生事件的数量与影响，并提升其事件检测、响应与恢复活动的效率与有效性。该版本的形态是一份 CSF 2.0 社区剖面，而非传统的独立操作手册。对邮件 SOAR 的直接含义是：自动化剧本不是孤立的技术项目，而应落在 CSF 2.0 的治理、识别、保护、检测、响应、恢复各功能之中，先讲清楚每条剧本降低了哪一类风险。

• 批量回收与隔离：确认为同一钓鱼活动的邮件，按活动指纹从全体收件箱回收并入隔离区。
• 指标富化：自动提取 URL、附件哈希、发件基础设施并交叉查询情报源与历史投递日志。
• 影响面测算：统计投递量、打开与点击人数、凭据提交者名单，生成受影响用户清单。
• 用户举报归集：自动去重、聚类并回执，向举报者反馈处置结果。
• 会话与凭据的紧急处置：对已确认提交凭据的账号撤销会话、强制改密——这一类属于高影响但可逆、且延迟成本极高的动作，通常值得自动化。

依据 OWASP LLM06:2025 对过度代理的界定，风险来自过度功能、过度权限与过度自治的组合；当自动化的裁决输入来自概率模型时，尤其要限制其自治度。邮件场景中建议保留人工审批的动作包括：全域封禁某个发件域或 IP 段（可能切断整条业务往来）、批量释放隔离邮件（错误方向的不可逆性最强）、停用用户账号（直接影响业务连续性）、修改 DNS 与邮件认证策略、对外发出客户通告或监管报告。判断原则可以简化为两个维度：动作是否可逆，以及误动作的爆炸半径有多大——不可逆且爆炸半径大的动作，无论模型置信度多高都应保留人工确认。

Microsoft 在 Defender XDR 自动攻击中断的官方文档中描述了一套值得借鉴的边界设计。其机制是基于 XDR 信号在事件层面评估整个攻击，而非依据单一入侵指标做拦截；文档说明其流程分为三步——关联来自端点、身份、邮件与协作、SaaS 应用等多源信号形成高置信度的单一事件，识别被攻击者控制并用于扩散的资产，然后在相关产品中自动执行响应动作。在门禁上，文档把置信度定义为检测器的精度并以信噪比衡量，明确包含（containment）动作的置信水平不低于 99%；新检测器需先在审计模式下验证，再分阶段部署。在可控性上，文档说明所有自动动作均可由安全团队撤销（undo），并可针对受支持的用户、设备与 IP 配置排除项以防关键资产被自动包含；事件队列与事件页会显示专门标签与横幅提示已执行的自动动作。

把这套范式移植到自建邮件 SOAR，可归纳为五条：一是先审计后执行，任何新剧本先跑影子模式积累真实数据，达标后再开自动执行；二是分级置信门禁，按动作的不可逆性设置不同的置信阈值与证据要求，高影响动作要求多源独立证据而非单一模型输出；三是白名单排除，对高管、财务、客服等关键邮箱与关键业务域预设排除清单；四是全量可撤销，每个自动动作都要有对应的一键回滚，并保留原始状态快照；五是显式留痕，在事件视图中清楚标注哪些动作由自动化执行、依据是什么、由哪个模型版本产生，以满足 SP 800-61 Rev.3 所强调的事后改进与风险管理闭环。