上午十点，生产线照常运转，工控安全运营岗的屏幕上弹出一条告警：工程师站的运维账号在检修窗口之外发起了跨区访问，工业协议审计随机触发告警。在真实的工业企业中，这类告警一天可达数十条——要弄清楚它，安全运维人员需要问答三个问题：这台设备关键吗？这个账号有权限吗？这次操作会影响生产吗？
面对隐蔽攻击，研判更复杂：攻击者利用暴露的设备、服务或未及时回收的账号进入网络，借助合法的工业通信链路横向移动，再对关键设备实施越权操作或异常操作——信号分散在不同设备、不同时间段，单看一条告警很难发现关联。研判还高度依赖经验，既要懂安全，也要了解设备用途、通信方式和生产安排，人员之间的经验差异直接影响效率。
发现异常只是开始，判断影响、明确处置方向才是难点。天融信（002212）的做法，先用一组工业安全智能体完成跨系统的核对与关联分析，最后的研判结论交由现场人员确认。
天融信工业安全智能体协同
让分散信息汇成一条研判链
围绕工业安全运营的实际需求，天融信（002212）在工业互联网（885783）态势分析与安全管理系统之上，研发系列工业安全智能体——围绕工业资产为核心，关联告警、策略、操作行为和处置记录，还原异常活动的完整过程。
在技术底座上，天问大模型聚合多源信息并生成研判参考，工业小模型负责资产识别、协议解析、行为基线和异常检测。资产、策略、工业行为和重点场景四款智能体，分别聚焦资产台账、访问权限、操作行为，以及远程运维、跨区访问等重点场景，围绕同一次异常协同作业，把各自的结论汇到同一条链上。
一次异常远程运维，四款智能体协同完成研判
以异常远程运维这一典型场景为例：平台检测到异常账号登录，随后发现工程师站发起跨区访问。这里的“跨区”，指的是跨安全分区——例如从管理信息大区越界访问生产控制大区。登录异常、跨区访问和工业协议告警来自不同系统，单独看都说明不了风险；要串起线索，需要先弄清楚这台工程师站归属哪套控制系统、管控哪些设备与工艺单元、该账号能否跨区访问、实际操作了什么——而这些信息散落在资产台账、访问策略和通信记录里。
天融信（002212）工业互联网（885783）态势分析与安全管理系统以工程师站和被访问的控制设备为线索，自动汇集周边资产、访问策略与操作记录，交由多类智能体协同研判：
资产智能体先核查设备类型、所属区域、业务等级、通信对象、漏洞情况和历史通信记录，提示可能关联的工艺单元和影响范围，以便安全人员快速了解告警落在哪些具体资产上，省去在多套台账间反复核对的繁琐。
策略智能体继续核查工业防火墙、工业网闸的访问控制策略。结合已接入的检修计划与运维授权时段、判断临时权限是否仍在有效期，并串联设备、端口、协议与访问动作，清晰还原本次访问的源地址、路径与目的对象。
工业行为智能体进一步分析通信内容，识别到工程师站通过组态协议向控制设备下发参数，再结合账号权限、操作时间、检修计划和历史操作基线进行比对，辅助判断是否符合现场安排，完整呈现谁在什么时间、通过什么路径、对哪台设备做了什么。
重点场景智能体把异常登录、超窗口的临时权限、跨区访问和参数下发按时间与通信路径关联，形成优先核查的风险事件，保留原始记录和分析依据。
风险确认后，产品将账号核查、设备检查、策略调整与现场复核等处置动作转化为工单、分派责任人，记录处置进度与复核结论；已确认的处置记录与分析依据，还会沉淀为后续相似事件的研判参考。
涉及生产边界、关键设备、关键账号和策略变更的操作，仍需安全、运维、工艺及生产调度人员共同确认。平台提供影响范围、异常依据和处置建议，支撑多部门协同——重复的分析工作交给智能体，最终处置由现场人员决定。
工业安全运营的价值，最终要落到生产现场。面向关键基础设施安全需求，天融信（002212）将持续加大工业安全领域的技术研究和产品投入，依托天问大模型、工业小模型和系列工业安全智能体，把安全能力落实到更多生产场景，为新型工业化（886057）发展提供可靠保障。
