Изкуственият интелект се развива невероятно бързо и всеки лидер в областта на сигурността изпитва натиск да бъде в крак с тенденциите.

AI платформи като Claude, Codex и Cursor вече помагат на екипите за сигурност да пишат правила за засичане, да разследват сигнали, да обобщават инциденти и да автоматизират повтарящи се задачи. Разговорът се разви от това дали AI има място в центъра за операции по сигурността (SOC), до това къде точно всеки тип изкуствен интелект носи най-голяма стойност.

С навлизането на толкова много нови AI продукти на пазара е лесно да се предположи, че един инструмент може да реши всеки проблем. В действителност различните видове AI са проектирани за различни задачи.

Разбирането на тази разлика е това, което превръща страха от пропуснати ползи (FOMO) от AI в по-добри резултати за сигурността.

Изкуственият интелект променя операциите по сигурност

Начинът, по който работят екипите за сигурност, се променя бързо.

Атакуващите вече използват AI за генериране на фишинг кампании, автоматизиране на разработването на зловреден код и придвижване по-бързо от всякога. В същото време защитниците използват изкуствен интелект за триаж на сигнали, създаване на правила за откриване, автоматизиране на отчети и като цяло за намаляване на ръчната работа.

Предизвикателството е да се реши къде точно се вписва всеки тип AI в рамките на SOC.

Два вида AI, две различни задачи

Най-лесният начин да мислим за съвременните операции по сигурност е като за три слоя.

  • Най-отдолу са вашите съществуващи инструменти за сигурност, като SIEM, EDR, платформи за облачна сигурност, системи за управление на идентичността, сигурност на електронната поща и всичко останало, което генерира сигнали.
  • В средата е автономен AI SOC. Неговата задача е да разследва автоматично всеки сигнал, да съпоставя констатациите между различните инструменти, да прилага контекста на организацията и най-важното – да определя кои сигнали действително изискват човешко внимание.
  • На най-горното ниво са AI платформи като Claude, Cursor и Codex. Това е мястото, където аналитиците, инженерите по откриване на заплахи и специалистите по реагиране на инциденти си сътрудничат с AI, за да решават проблеми, да пишат детекции, да създават отчети, да търсят заплахи и да вземат решения.

Всички тези слоеве се допълват взаимно и са необходими за успешен SOC.

Защо AI платформи като Claude не трябва да разследват всеки сигнал

Платформите с изкуствен интелект са невероятно способни, но те са проектирани да помагат на хората.

Даден аналитик може да поиска от Claude да обясни подозрителна активност на PowerShell, да обобщи разследване, да изготви проект на Sigma правило или да преведе детекция на друг език за заявки. Това са отлични начини за използване на AI.

Но разследването на хиляди сигнали всеки ден е съвсем различно предизвикателство.

Този вид работа изисква автономна система, която работи непрекъснато, интегрира се с инструментите за сигурност, помни контекста на организацията и разследва сигнали денонощно, без да чака подкана от човек.

Опитът да се използва AI платформа като денонощен разследващ в SOC е малко като да помолите гениален консултант да отговаря на всяко телефонно обаждане в натоварен кол център. Консултантът е изключително ценен, но само когато е фокусиран върху работата, която се възползва от неговия опит.

Има и друга причина, поради която AI платформите не са проектирани да разследват всеки сигнал за сигурност: икономическата страна.

Всяко разследване започва с контекст. Един AI модел се нуждае от телеметрия на крайните точки, дървета на процесите, регистрационни файлове за удостоверяване, история на имейлите, разузнаване за заплахи, предишни разследвания, правила за засичане и познания за организацията, преди да може да вземе правилно решение.

Всяка част от този контекст консумира токени.

Това е напълно разумно, когато аналитикът иска от Claude да помогне в разследването на шепа инциденти всеки ден.

Но уравнението става съвсем различно, когато SOC получава хиляди сигнали дневно.

Представете си да използвате голям езиков модел, за да извършвате ново разследване за всеки сигнал. Дори ако всяко разследване е сравнително малко, организацията все пак би плащала за десетки хиляди AI разговори всеки ден, повечето от които биха завършили с извода, че сигналът е безопасен. С нарастването на обема на сигналите нарастват и разходите.

Вместо всеки сигнал да се третира като чисто нов разговор с голям езиков модел, добрият AI SOC комбинира детерминистични работни процеси, съдебномедицински анализ, памет на организацията, кеширан контекст и избирателно AI разсъждение. Големите езикови модели се използват там, където добавят реална стойност, а не за всяка стъпка от всяко разследване.

Резултатът е архитектура, която може да разследва непрекъснато всеки сигнал, като същевременно поддържа предвидими разходи.

Използването на Claude за разследване на всеки сигнал е малко като използването на кола от Формула 1 за доставка на пратки. Това е невероятно инженерно постижение, но е създадено за скорост, а не за логистика с голям обем. Корпоративните SOC се нуждаят от инфраструктура, изградена за ефективно справяне с огромен мащаб, с AI, приложен там, където има най-голямо въздействие.

Има и друго практическо предизвикателство, което често се пренебрегва.

Много организации не управляват собствен SOC. Те разчитат на MDR доставчик (Managed Detection and Response) за наблюдение на тяхната среда.

В тези среди MDR доставчикът обикновено притежава работния процес по разследването. Те разполагат с аналитиците, системата за управление на случаи, историята на разследванията и често пъти с обогатената телеметрия, събрана по време на разследването. Клиентът обикновено получава само ескалираните инциденти и периодичните отчети, но не и всяко събрано доказателство.