Training Versus Hiring in Security Operations Centers: Agent-Based and Reinforcement Learning Simulations of Training Duration Effects on CyberTeam Performance
本研究利用基于智能体建模和强化学习的方法，证明了安全运营中心的训练时长会产生非线性性能增益，其中最佳投资发生在 500 至 1,000 个周期之间，且经过高度训练的团队所实现的效率优势相当于额外招聘 20 至 25 名人员。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，安全运营中心（SOC）就像一场高风险的电子竞技锦标赛。一个组织面临着预算和一项关键抉择：是应该雇佣一大批经验不足的新手玩家，还是应该带走他们现有的精干小队，并让他们接受高强度的长期训练营？
本论文使用计算机模拟来回答这个问题。研究人员并没有通过观察真实的人类进行长达数年的观察，而是构建了一个数字世界，其中的“智能体”（代表人类的计算机程序）在进行一场网络攻防游戏。他们使用了一种特殊类型的 AI，即强化学习（Reinforcement Learning），来充当“训练模拟器”。就像人类玩家通过玩得越多就变得越强一样，这些 AI 智能体通过玩成千上万轮游戏来学习策略，通过获胜获得奖励，通过失败受到惩罚。
以下是他们的发现，通过简单的概念进行了拆解：
1. “三幕剧”式的训练故事
研究发现，训练能力的提升并不是呈稳定的直线增长。它分为三个截然不同的阶段，就像剧本中的三幕剧一样：
- 第一幕：笨拙的初学者阶段（第 1–500 集）：
想象一个刚拿起控制器的初学者。他们正在探索，尝试随机的动作，并且大多以失败告终。在模拟中，处于这一阶段的队伍几乎赢不了（胜率仅为 0% 到 15%）。他们只是在摸索规则。 - 第二幕：“顿悟”时刻（第 500–2,000 集）：
这是黄金时期。团队停止了瞎猜，开始理解规律。他们学会了如何协作，表现水平因此飙升。他们的胜率从大约 15% 跳升到了 50% 以上。这是价值增幅最大的阶段。 - 第三幕：大师级的打磨（第 2,000–5,000 集）：
此时团队已是职业选手。他们几乎赢得了所有比赛（93% 到 95%）。然而，在这里每增加一小时的训练，带来的技能提升都微乎其微。这就像一位名厨花费额外的时间只为了让一道菜的味道提升 1%：虽然很好，但巨大的进步早已完成。
2. 你的钱包里的“甜点位”
如果你是决定团队训练时长的高管，论文建议了一种特定的策略：不要过早停止，也不要永远训练下去。
- 危险区： 如果你在前 500 场“游戏”后就停止训练，你就是在浪费整个过程中最有价值的部分。你仍处于“笨拙”阶段。
- 黄金区： 投资回报率最高的地方发生在 500 到 1,000 场游戏之间。这是团队从“新手”蜕变为“胜任的专业人士”的转折点，也是技能跳跃最大的阶段。
- 收益递减期： 在 2,000 场之后，你依然在进步，但需要投入大量时间却只能换取极小的提升。
3. “魔力倍数”：小规模团队 vs 大规模军队
这是最令人惊讶的发现。研究人员将一个经过高度训练的小型团队与大型未经训练的团队（即仅遵循基本规则且从未学习过的团队）进行了对比。
- 结果： 一个仅有 5 名受过训练的攻击者组成的团队，表现得与 25 到 35 名未经训练的攻击者组成的团队不相上下。
- 类比： 想象一下，5 名精锐特种部队士兵对阵 30 名未经训练的平民。由于这 5 名受过训练的士兵知道该做什么以及如何协作，他们可以击败人数众多的群体。
- 数学逻辑： 论文声称，一名受过训练的攻击者大约相当于 3 到 7 名 未经训练的攻击者。
对组织的底线建议
论文得出结论：如果你必须在“雇佣 20 名新人”或“长期训练现有的 5 人”之间做出选择，训练是更明智的选择。
- 招聘会给你一个庞大的团队，但他们行动缓慢、笨拙，需要大量的人手才能完成工作。
- 训练能将一个小团队变成一台高效的机器，其效率可以胜任更大规模团队的工作。
这项研究表明，组织应该设计足够长的训练计划，以确保能够跨越“笨拙”阶段并达到“专家”阶段（大约 1,000 到 2,000 个模拟训练环节）。这样做不仅能创造一支更优秀的团队，而且比单纯地购买更多人力资源更具成本效益。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。