安全运营中心（SOC）需要把海量告警、日志和流量转化为可信且成本可控的决策，以发现潜在威胁。我们提出 LanG 2.0，这是一套具备智能体特性的系统，能够检测威胁、关联证据并自动生成规则。核心思路是检验在结构化安全保障而非模型精度提供保证的前提下，小型本地模型能否以更低成本安全地替代前沿模型。系统采用实体锚定的关联机制、规则变更需人工批准以及防篡改账本来实现安全防护。实验覆盖五个网络的八个流量数据集、真实 XDR 告警以及多阶段攻击活动。与前代相比，活动关联精度从 18.75% 提升至 51.81%，规则接受率从最高 60.00% 提升至 98.33%。在对比 Claude Opus 5.5 时，LanG 2.0 在未见网络上对正常流量进行检测，F1 达到 73.42% 且无误报，而对手模型 F1 为 58.10% 且误报率 49.00%，能源消耗相差至少 650 倍。微调后的本地模型在告警分类和规则编写上与大模型统计上等效，但能耗仅为其 1/5.6 到 1/59。系统展示了实际可扩展性，能够在 6.4 分钟处理 333 万条记录，小时处理量超过 3000 万条，并且在提示注入、标签投毒和账本篡改等攻击下保持稳健。由此证明，小型本地模型能够在保证安全的前提下，以更低成本承担大部分 SOC 检测任务。\n\n点评