探索安全边界：出海合规与大模型实践 | QCon

进入 2024 年以来，企业在全球商业舞台上迎来了两个显著的潮流：业务出海和大模型技术的广泛应用。业务出海已成为企业扩大市场版图、提升全球竞争力的关键战略。企业不再局限于本土市场，而是积极向国际领域迈进，探索新的增长机遇和市场空间。这一过程中，如何确保合规与安全，成为企业出海战略中不可忽视的一环。同时，大模型技术的运用正深刻影响着企业的运营模式和创新方向，安全人员也开始考虑利用大模型技术优化安全解决方案，提升安全防护效率，减少安全风险。

面对不断演进的趋势，这些都是重点关注和丞待解决的挑战。在即将于 10 月 18 -19 日召开的 QCon 上海站，我们策划了【探索安全边界：出海合规与大模型实践】专场，将邀请不同公司的数据安全合规专家，分享他们在各自的业务场景中的出海合规实践经验，以及借助大模型助力应用场景落地，实现运营效率和效果的双重提升的方法。目前是 8 折购票最后优惠期，感兴趣的同学请点击文末【阅读原文】链接了解详情。

讲师：刘明 （携程数据安全总监）

演讲摘要

分类分级是数据安全的一项基础性工作，高效准确地对数据进行分类分级打标，是后续进行有效分级保护控制的先决条件，以往分类分级工作中存在专家特征规则识别质量局限，人工识别耗时费力跟不上业务变化的问题，随着大语言模型的兴起，我们看到了新的机会，也取得了不错的可行性验证成果，本次演讲将分享携程逐步实现高质量、高效率的敏感数据分类分级的思路和经验，希望能给听众带来一些启发和思考。

演讲提纲

1. 背景

• 目前数据分类分级手段在商密数据场景的局限

• 大语言模型能带来的潜在提升与场景适配研究

2. 分类分级可行性验证过程

• 找到正确的提问方式

• 大语言模型分类分级过程中遇到的问题：模型幻觉、数据安全性

3. 在控制成本的基础上找到平衡应用落地方式

• 在现有分类分级产品中引入大语言模型能力

• 分类分级准确率和召回率数据情况

4. 挑战与展望

• 分类分级大模型的常态运营

实践痛点

大语言模型存在幻觉问题，偶发性会出现脱离框架的答案，同时大语言模型使用成本目前相较专家特征规则和自建模型没有优势，因此成本控制问题会限制其应用规模。

演讲亮点

商业秘密数据特征模糊，使用专家特征规则无法进行有效识别，而大语言模型可充分利用上下文和常识知识更加准确的识别分类商业秘密数据。

听众收益

• 了解携程在使用大语言模型进行商密数据分类分级的实践经验

• 了解大语言模型在数据安全分类分级基础性工作上提升效率质量的价值

讲师：包沉浮（百度杰出架构师，安全技术委员会主席 ）

演讲摘要

百度作为一家业务复杂的大型互联网企业，同时又是关键基础设施，随着网络安全威胁的日益加剧，传统的安全运营手段在效率和效果上都面临巨大挑战。本次分享将介绍百度如何基于大模型构建深度安全推理智能体框架，实现运营效率和效果的双重提升，并展示包括告警自动研判和漏洞事件分析在内的实践经验，希望能给听众带来一些大模型安全领域应用最佳实践的启示。

演讲提纲

1. 背景和挑战

• 大模型开始逐步应用于安全运营场景

• 百度安全运营面临的双效（效率 + 效果）提升需求

2. 架构设计

• ‍设计目标：基于深度安全推理智能体框架，实现双效提升

• 设计考虑：人机协同的工作流设计（运营流程梳理、质量标准定义、人机交互模式）、模型能力边界与拓展（模型结果可信度和可解释性、知识和工具依赖）、实施成本

• 整体‍架构（自底向上）：

• 底座模型的知识补充

• RAG、CoT、Function calling

• 流程编排

• 智能体 Review 机制

3. 实践案例

• 告警自动 / 辅助研判 + 事件处置

• 漏洞事件自动分析 + 处置

4. 未来展望

• 大模型原生的安全运营中心

实践痛点

1. 明确目标，围绕安全运营场景的风险偏好，制定更贴合实际的落地目标，避免直接盲目追求大而全的零职守无人干预

2. 以数据驱动能力迭代，缺少可用数据时应当从实际场景中提升标准化和自动化水平，引入业务的数据活水，避免直接使用脱离业务的合成数据

演讲亮点

1. 从架构设计层面剖析安全运营场景双效提升应遵循的必要准则，提供构建深度安全推理智能体框架的完整视角

2. 细粒度展现告警研判、漏洞分析处置等实际场景的双效提升最佳实践

听众收益

1. 了解互联网大厂的安全运营需求痛点与大模型实践经验

2. 了解规模化且对效果要求较高的安全运营场景下，大模型智能体设计考虑与整体架构

讲师：傅奎（雾帜智能联合创始人 & CTO）

演讲摘要

主流安全大模型及应用场景侧重于非结构化数据的整理、总结、分析和建议，但还缺少最后一步——如何让大模型参与安全响应的决策，并在决策后自动化完成动作的执行。本议题将介绍，安全专家如何借助大模型，自动生成网络安全响应流程（安全剧本），并自动完成剧本的执行，由此在安全运营场景最后一公里完成大模型应用场景落地。

演讲提纲

1. 大模型在网络安全领域应用

• 发布 SecGPT 的安全厂商

• 大模型在安全领域的应用场景

• 共性不足（重分析，轻决策）

2. 安全大模型在智能决策领域应用探索

• 模型是否有能力给出合理建议

• 如何让模型给出更高质量的决策

• 模型决策结果的潜在风险

3. 安全大模型实战应用实践案例

• OWASP TOP 10 典型场景

• 大模型在 Web 攻击攻击领域的应用效果

• 降低模型决策风险的实践思路

4. 未来展望

• 让模型设计剧本 VS 让模型选择剧本

• 大模型落地安全最后一公里（能力调度）如何实现

• 终极目标：零值守无人安全运营中心

实践痛点

1. 针对特定性的安全事件，如何设计响应策略

2. 人工智能设计的安全策略是否可以实现全自动执行

3. 距离真正零值守还有哪些问题没有解决

演讲亮点

不仅仅使用大模型对安全事件做分析，还通过安全大模型对安全事件响应作出决策，安全大模型完全决策，并最终付诸实施通过安全能力实现安全策略的落地，该环节减少对人工的依赖，减少对安全专家的依赖，是未来零值守安全运营中心的重要基础。

听众收益

1. 传统安全运营的场景，痛点和困境

2. 有别于安全大厂的安全运营智能化实践

3. 安全大模型最后一公里所解决的问题和价值

讲师：胡立平（携程数据安全合规负责人）

演讲摘要

出海成为众多国内企业实现业绩新增长曲线的选择，然而随着数据的重要性提升，法律及监管关注度也在增强，携程作为在线旅行行业较早布局海外业务的企业，在海外数据安全合规风险上也有所积累。本次演讲将分享携程海外数据安全合规风险管理的思路和经验，希望能给相关出海企业企业带来一些合规实践上的启示。

演讲提纲

1. 出海面临的数据安全合规挑战

• 法律法规近些年主要变化及监管挑战

• 从数据视角深度剖析出海合规风险

• 携程的海外合规整体策略设计

• 如何通过 GRC 平台形成风险管理闭环

• 如何保障旗下 Trip.com 产品的隐私合规

3. 海外数据安全合规未来展望和应对思考

实践痛点

合规风险管理线上化需要建立在标准化的风险管理、优秀的产品设计、合理的内部运营流程等基础上，才能实现控制域的完备性、控制方法的准确性、关键控制的有效性、审计覆盖的充分性等关键指标。

演讲亮点

1. 结合合规实战介绍部分法域的合规挑战

2. 介绍携程自研 GRC(Governance, Risk and Compliance ) 平台如何融合监管情报、外规内化、审计整改等多个治理环节，解决出海过程中面临多法域、多品牌的风险管理挑战

听众收益

1. 帮助了解现有海外数据安全相关合规的整体风险态势

2. 帮助了解标准化及线上化在多法域数据安全合规风险管理中的价值

更多精彩内容将在 10 月 18 - 19 日 QCon 上海站为您现场呈现，期待与您共赴这场技术之约。如果您有好的技术实践案例想要与我们分享，欢迎通过以下链接提交演讲申请：https://jinshuju.net/f/EbrZFg

InfoQ 将于 10 月 18-19 日在上海举办 QCon 全球软件开发大会 ，覆盖前后端 / 算法工程师、技术管理者、创业者、投资人等泛开发者群体，内容涵盖当下热点（AI Agent、AI Infra、RAG 等）和传统经典（架构、稳定性、云原生等），侧重实操性和可借鉴性。现在大会已开始正式报名，可以享受 8 折优惠，单张门票立省 960 元（原价 4800 元），详情可联系票务经理  17310043226 咨询。