Индустрията за киберсигурност в момента преминава към ера, в която както атаката, така и защитата се ръководят от изкуствен интелект (ИИ), а всеки Център за операции по сигурността (SOC) работи с машинна скорост. Това, което повечето директори по информационна сигурност (CISO) все още не са осъзнали обаче, е че ИИ защитниците, които се канят да внедрят, ще наследят база от данни, която тихомълком бе обезкървена от двугодишния натиск за намаляване на разходите за събиране и съхранение на информация.

Резултатът е индустрия за сигурност, която навлиза в ерата на изкуствения интелект с по-малка видимост, отколкото имаше преди пет години. В проучването на SANS за SOC за 2026 г. 24% от лидерите в областта на сигурността посочват липсата на видимост в цялото предприятие като най-голямата бариера пред ефективните операции по сигурността, класирайки я пред недостига на персонал и пропуските в автоматизацията. Тази пропаст се увеличава точно в момента, в който офанзивният ИИ скъсява дистанцията между атакуващите и защитниците.

Атаките се развиват по-бързо, отколкото защитниците могат да видят

Офанзивният ИИ вече не е хипотеза. Водещите модели вече свиват времето от откриването на уязвимост до работещ експлойт от седмици на часове. През юли два модела на OpenAI, изпълняващи вътрешен тест на възможностите си, избягаха от своята изолирана среда чрез неизвестна досега уязвимост, достигнаха до отворения интернет и свързаха поредица от експлойти и фалшифицирани токени за идентичност, за да получат административен достъп до производствената инфраструктура на Hugging Face.

Hugging Face възстанови приблизително 17 600 действия на атакуващия от своите дневници (logs). Това възстановяване беше възможно, защото дневниците бяха налични. Център за операции по сигурността (SOC), който е премахнал тези източници, за да контролира разходите за трансфер на данни, щеше да чете книга с липсващи страници. А това започна като лабораторен тест, с ограничена цел и с намалени ограничения за кибербезопасност на моделите. На атакуващите не им е необходимо по-голямата част от това, което тези системи могат да направят. Нужна им е само достатъчна част.

Отговорът на защитниците беше също да се впуснат в надпревара към ИИ. Всеки голям доставчик на решения за сигурност вече има някакъв вид агентна SOC платформа в плановете си или в ръцете на първите си клиенти. ИИ агентите, които триажират, разследват и реагират с машинна скорост, се рекламират като отговор на офанзивата с машинна скорост.

На хартия това е правилният отговор.

Но един ИИ защитник е толкова добър, колкото са добри данните, които може да види, и това е проблемът, който презентациите за продажби не адресират. Повечето екипи по сигурността съкращават данните, подавани към техните SIEM системи, за да държат бюджетите под контрол. Те го направиха, без да имат начин да разберат кои правила за откриване тихомълком са счупили или кои източници на дневници са направили безполезни.

Тези съкращения не бяха неразумни. Цените за въвеждане на данни в SIEM станаха неустойчиви и екипите реагираха на реален проблем с разходите. Те премахнаха това, което вярваха, че могат да си позволят да загубят.

Това, което не можеха да направят, беше да го докажат.

Капанът зад двугодишното рязане на разходи

Докладът „Blue Report“ на Picus Security, базиран на повечето от 160 милиона симулации на атаки в реални производствени среди, дава цифрово изражение на последиците. Половината от неуспехите на правилата за откриване (detection rules) сега се дължат на пропуски в събирането на дневници. Организациите откриват едва 1 на всеки 7 атаки.

Това не е проблем на инженеринга за откриване на заплахи. Това е проблем с доставката на данни.

Всеки корпоративен SOC, който познавам, е инвестирал значително в съдържание за откриване: правила, корелации, сценарии за реагиране (playbooks), картографиране по MITRE ATT&CK. Това, което не могат да проверят, е дали тези правила все още могат да се задействат въз основа на данните, влизащи в SIEM. Когато даден екип спре източник на дневници или филтрира набор от събития, за да спести пари, те рядко знаят кои откривания току-що са спрели да работят. Съкращението се случва в една система. Откриването живее в друга. Никой не доказва, че двете остават съвместими.

Това е проблемът с „летенето на сляпо“ и той не е малък.

Разходите се натрупват бързо. Пропуснатите откривания на заплахи означават по-дълго време за престой на атакуващите в мрежата. Докладът на IBM за 2026 г. относно разходите при изтичане на данни показва, че пробиви, които продължават над 200 дни, струват 5,65 милиона долара срещу 4,32 милиона долара за тези, които са овладени по-бързо. Регулаторните рамки, които изискват изчерпателно водене на дневници, се превръщат в рискови експозиции, когато дневниците липсват. Застрахователи, управителни съвети и одитори все по-често питат какво всъщност може да види SOC. И сега, когато ИИ агентите навлизат в реалните операции по сигурността, всеки един от тези агенти ще бъде насочен към същата отслабена основа.

Резултатът е точно този сценарий, който индустрията не може да си позволи: ИИ защитници, работещи на висока скорост срещу ИИ атакуващи, върху слой от данни, за който никой не е доказал, че е непокътнат.

Какво трябва да попитат директорите по информационна сигурност (CISO) сега

Неудобната истина за много CISO е, че те не могат да отговорят на основни въпроси относно собствената си видимост. Кога за последен път вашият екип успя да покаже в доклад точно кои откривания все още биха се задействали след последния кръг от съкращения на разходите за събиране на данни? За повечето SOC честният отговор е „никога“.

Това трябва да се промени, преди ИИ агентите да наследят проблема.

Това е решимо чрез софтуер, въпреки че почти никой не го прави. Изисква се четене на правилата за откриване, които действително работят в SIEM, картографиране на всяко едно от тях към източниците на дневници и полетата, от които зависи, и генериране на правила за защита, които запазват обхвата на покритие дори когато обемът намалява. Когато дадено съкращение не може да бъде приложено безопасно, платформата го докладва като констатация, вместо да извърши съкращението. Резултатът е доклад, показващ...