云安全查询开始从专业语法转向自然语言。AWS与Orca Security最新披露的Discovery AI，让分析人员直接用日常语言提问，再由一条可验证的AI流水线从数百种资源模型和复杂关系中生成结构化安全查询。

10月13日，AWS在官方技术博客介绍了Orca Security基于Amazon Bedrock构建Discovery AI的过程。Orca的Sonar查询系统覆盖900多种云基础设施和应用模型，并提供18种比较与过滤操作。过去，用户需要准确填写模型名称、JSON结构以及跨云资源的父子关系，使用门槛较高。

从“大提示词”转向分工明确的九个阶段

项目最初把完整Sonar模式、关系定义和示例一次性放进大型模型提示词。概念验证效果得到内部用户认可，但生产环境中暴露出明显问题：单个工作负载输入量约200万Token，端到端响应时间约60秒，而且复杂的多模型查询仍需要反复修正。

新方案不再要求一个模型包办全部任务，而是设计九段式流程。入口先加入用户组织、已连接云服务商和请求元数据；随后，确定性匹配器识别IP地址、CVE编号、ARN、文件哈希、镜像ID、网址和告警ID等高置信度格式。命中规则时，系统直接返回预定义过滤器，无需调用大模型。

没有命中快速路径的请求，会先经过安全与相关性检查，拦截提示词注入、离题或不受支持的输入。系统再使用Amazon Titan嵌入从已验证示例中找出20个近邻，通过Cohere Rerank 3.5筛到5个高信号案例。模型选择器随后把900多种Sonar模型压缩到当前问题真正需要的一小组，减少无关上下文。

生成之后还要经过静态检查和真实API验证

在生成阶段，工具增强型智能体根据候选示例、所选模式和用户环境构造过滤器。结果不会直接交付，而是先做语法和语义静态验证，再调用Sonar API检查可执行性。若验证失败，错误信息会返回生成器，指出有问题的模型、字段或操作符，让下一轮修正重新落到明确的模式定义上。

AWS披露，不同阶段使用不同模型：Claude Haiku 4.5负责模型选择与查询生成，Amazon Nova 2 Lite处理防护和验证，Titan完成嵌入，Cohere负责重排序。Amazon Bedrock提供统一的多模型访问接口，并结合IAM、VPC端点和CloudTrail满足治理需求，模型版本也可在不重构全流程的情况下替换。

成本和延迟改善来自“少给模型看无关内容”

按照Orca Security与AWS公布的生产数据，与最初基线相比，新方案把相近工作负载的输入量从约200万Token降至14万，降幅93%；整体查询成本降低90%；端到端延迟从约60秒降至15秒。Discovery AI自2026年3月投入生产后，每天处理数千次查询。以上数字来自厂商案例，具体效果仍取决于查询复杂度、数据规模和模型配置。

团队还建立了持续评估集和专家反馈机制。产品经理、支持工程师与安全研究人员可以标记错误、修正输出，并把正确案例加入示例库；低置信度的生产请求会自动送给领域专家标注，使后续检索立即获得新案例，而不必等待完整版本发布。

编辑观察：企业AI应用正在从“模型能力”转向“流程能力”

这项案例的价值不只是把专业查询翻译成自然语言，更在于展示了生产级AI系统的工程取舍：规则能确定的任务就不调用模型，检索结果要重新排序，模式范围要主动缩小，生成结果必须验证，专家反馈还要能持续进入数据闭环。

对准备建设安全、运维或数据分析智能体的企业而言，可先挑选高频问题建立可执行的黄金查询集，再分别衡量准确率、延迟、Token消耗和验证失败率。自然语言入口降低了使用门槛，但真正决定系统能否长期运行的，是后面的约束、验证、可观测性与人工纠错能力。

配图为AIcent原创AI生成实景风格示意图，非官方新闻现场照片，不使用第三方新闻图片。

参考来源：AWS官方技术博客（2026年10月13日）。正文为基于官方消息的中文整理，编辑观察与事实披露分开呈现。