Руководитель службы безопасности завершает презентацию для совета директоров об агентном SOC, который объединяет ИИ-агентов с аналитиками для устранения пробелов в покрытии. Кто-то поднимает руку: «Значит, ИИ решает, кто является угрозой?»
Это справедливый вопрос. Но он также неверный, основанный на мифе, который достаточно распространен, чтобы затормозить внедрение.
На самом деле все обстоит иначе: агентный SOC внедряет ИИ-агентов в рабочие процессы обнаружения, расследования и реагирования на угрозы (TDIR), но люди по-прежнему принимают каждое решение, имеющее реальный бизнес-вес, юридические или операционные последствия. Агенты обеспечивают скорость, масштабируемость и неустанный первичный анализ доказательств. Аналитики привносят суждение, контекст и подотчетность, которую не может обеспечить ни одна модель.
Четыре мифа постоянно мешают этому партнерству на заседаниях совета директоров, в каналах Slack для аналитиков и при оценке поставщиков. Основываясь на наших беседах с руководителями служб безопасности, отраслевыми аналитиками и другими лидерами индустрии, вот правда.
Миф 1: ИИ заменяет аналитиков SOC
ИИ-агент может собрать стопку отчетов о фишинге, обогатить индикаторы и отсортировать те, которые выглядят скоординированными, от тех, которые таковыми не являются. Он делает это быстро и всегда одинаково. Чего он не может сказать, так это того, что этот паттерн означает для вашего бизнеса в этом квартале, выходит ли он за рамки правового поля или сферы конфиденциальности, и нужно ли сообщать об этом совету директоров.
Для таких решений требуется контекст, который не предоставляет ни одно оповещение: допустимый уровень риска, операционное воздействие и то, что бизнес может выдержать. Агентный SOC не отнимает это право суждения у аналитиков. Он дает им больше времени для его использования, поскольку меньше времени в их смене уходит на поиск доказательств и переключение между инструментами, а больше — на принятие решений о том, что требует действий, и выполнение других проактивных задач, таких как разработка методов обнаружения.
Работа становится более сфокусированной на экспертизе, а не менее зависимой от нее.
Миф 2: ИИ принимает решения по безопасности
ИИ-агент может оценить риск, связать активность между идентификаторами и системами и выделить несколько оповещений из сотен, требующих повторного рассмотрения. Он может даже подготовить рекомендацию. Но представление рекомендации и принятие решения — это не одно и то же.
Локализация угрозы может привести к отключению доступа, прерыванию операций, например, на сборочных линиях, повлиять на производительность сотрудников или повлечь за собой обязательства по отчетности. Кто-то должен уметь объяснить, почему было принято такое действие, какие доказательства его подтверждали и кто его одобрил. Ни одна модель не может взять на себя эту ответственность за вас.
Прирост скорости реален, и он не стирает эту грань. В кампании кибершпионажа, раскрытой Anthropic, ИИ-агенты выполняли большую часть тактических операций, в то время как операторы-люди по-прежнему выбирали цели и принимали все стратегические решения. Даже во время атаки на машинной скорости люди оставались ответственными за важные решения.
Агенты действуют быстро. Аналитики по-прежнему принимают решения.
Миф 3: Агентный SOC исключает расследования
Расследование не исчезает, исчезает большая часть рутинной работы на начальном этапе. Много времени аналитика по-прежнему уходит на открытие нескольких инструментов, извлечение логов, сбор доказательств и ручное построение хронологии — работа, которая необходима, но откладывает момент, когда в дело вступает реальная экспертиза.
ИИ-агент, включая Exabeam Nova AI, может выполнить этот первый проход за вас: собрать контекст, связать связанные сущности, составить предварительную хронологию и обобщить выводы до того, как вы начнете собственный анализ. Вы открываете организованное дело, а не кучу разрозненных оповещений.
Остается то, что действительно важно: выяснение намерений, проверка масштаба, оценка воздействия и принятие решения о дальнейших действиях. ИИ собирает факты. Аналитики решают, что эти факты означают.
Миф 4: ИИ-агенты — это просто инструменты
Это миф, за которым скрывается больше всего рисков. ИИ-агенты проходят аутентификацию, обладают правами доступа, извлекают данные и предпринимают действия в системах — это тот же тип доступа, который есть у любого сотрудника. Это делает их чем-то большим, чем просто программное обеспечение, которое вы устанавливаете и забываете.
Контроль доступа по-прежнему работает, но авторизованный доступ не гарантирует ожидаемого поведения. Вам также нужно знать, как агент работает в обычном режиме: к чему он обращается, какие рабочие процессы выполняет и когда его активность отклоняется от базового уровня.
Аналитика поведения агентов (ABA) распространяет тот же метод базового профилирования поведения, который Exabeam создал для пользователей-людей, на ИИ-агентов и другие нечеловеческие учетные записи, чтобы растущее число агентов и сервисных учетных записей не превратилось в растущий пробел в видимости. Обеспечение безопасности агентного предприятия означает управление агентами с той же строгостью, которую вы применяете к людям, а не предоставление коду преимуществ, которых никогда не получил бы человек.
Что меняет развенчание этих мифов для вашей роли
Руководители служб безопасности: управляйте скоростью, не отказываясь от подотчетности
Оценивайте агентный SOC как операционную модель, а не как обещание полной автономии. Определите, где агенты могут давать рекомендации, где они могут действовать и где требуется одобрение человека. Эти четыре мифа обычно являются реальным возражением, стоящим за застопорившейся инициативой, даже если заявленная проблема звучит иначе. Прямое называние мифа обычно помогает продвинуть обсуждение с советом директоров быстрее, чем общие аргументы в пользу внедрения ИИ.
Архитекторы безопасности: управляйте агентами как любой другой учетной записью
Относитесь к ИИ-агентам как к учетным записям с ограниченными правами, авторизованным контекстом, мониторингом поведения и отслеживаемыми действиями. Четвертый миф — это то, что нужно включить в ваши архитектурные обзоры. Если ваша организация развертывает агентов где-либо в бизнесе, а не только в SOC, тот же вопрос управления применим ко всем из них. Встраивайте надзор в рабочие процессы TDIR, а не добавляйте отдельный процесс после развертывания.
Аналитики безопасности: переходите от сбора доказательств к оценке рисков
Все это не аргумент в пользу сокращения команды. Это аргумент в пользу того, чтобы тратить свое время на расследования, которые действительно требуют вашего участия, а не на те, где нужно просто собрать доказательства. Используйте контекст, созданный ИИ, как отправную точку, а не как вердикт. Проверяйте его, тестируйте и применяйте то, что вы знаете о бизнесе. Агент не принимает решений. Это по-прежнему делаете вы.
Термины агентного SOC, которые нужно знать
Агентный SOC: модель операций безопасности, которая сочетает расследование с помощью ИИ и автоматизацию с человеческим надзором и полномочиями по принятию решений.
ИИ-агент: программная программа, которая может выполнять определенную задачу, использовать инструменты, извлекать информацию и предпринимать действия в установленных границах.
Аналитика поведения агентов (ABA): технология Exabeam, которая применяет базовое профилирование поведения и оценку рисков к ИИ-агентам и другим нечеловеческим учетным записям так же, как это делает аналитика поведения пользователей и сущностей (UEBA) для пользователей-людей.
Нечеловеческая учетная запись: учетная запись или субъект, который выполняет действия в системе без прямого контроля со стороны человека в момент действия, включая ИИ-агентов, сервисные учетные записи и автоматизированные рабочие процессы.
Человек в контуре (Human-in-the-loop): модель контроля, в которой человек просматривает, одобряет или отменяет рекомендацию или действие ИИ в определенных точках.
Nova AI: набор ИИ-агентов, встроенных в New-Scale Fusion, которые помогают аналитикам в расследовании, включая составление хронологии, обобщение контекста и рекомендации по следующим шагам.
Агентный SOC сохраняет контроль за людьми
Вернемся к той поднятой руке на совещании совета директоров: ИИ не решает, кто представляет угрозу. Он решает, что заслуживает внимания аналитика, и это гораздо более узкое утверждение, чем то, что приписывают ему любые из четырех мифов.
Агентный SOC не исключает аналитиков, принятие решений или расследования. Он применяет ИИ там, где скорость, масштаб и повторяемость создают наибольшие препятствия, и оставляет суждения, бизнес-контекст и полномочия по реагированию именно там, где им и место. ИИ-агенты также становятся еще одной учетной записью в тот момент, когда вы их развертываете, поэтому их внедрение зависит от той же прозрачности и подотчетности, которых вы ожидаете от любого субъекта с доступом к корпоративным ресурсам.
Узнайте, как обеспечить безопасность людей и ИИ-агентов вместе
Ознакомьтесь с техническим документом Securing the Agentic Enterprise, чтобы глубже изучить поведенческие риски, нечеловеческие учетные записи и операционную модель, лежащую в основе агентного SOC.
