Kahetasandiline tehisintellekti arhitektuur: miks üldmudelid on tööriistad, kuid SOC-i autonoomia on infrastruktuur

Tehisintellekti kasutuselevõtu kiirus küberturbes on tekitanud märkimisväärse strateegilise lõhe nende vahel, kes näevad tehisintellekti vestlusrobotina, ja nende vahel, kes näevad seda arhitektuurina. Varem hindasid turvajuhid suuri keelemudeleid (LLM) nende võime põhjal vastata küsimustele või kirjutada skripte. Nüüd on operatiivne reaalsus see, et üldotstarbelised tehisintellekti platvormid nagu Claude ja Cursor eristuvad spetsialiseeritud infrastruktuurist, mis on vajalik suuremahulise turvaoperatsioonide keskuse (SOC) käitamiseks.

Turvameeskonnad seisavad silmitsi ohukeskkonnaga, kus ründajad kasutavad tehisintellekti ründeahela (kill chain) luure- ja ekspluateerimisfaaside automatiseerimiseks. Traditsiooniline ohumudel, mis toetub inimese kiirusele masina kiirusel toimuvate rünnakute peatamiseks, on põhjalikult murenenud. Selle lahendamiseks peavad organisatsioonid liikuma kaugemale tehisintellekti assistentide põhilisest integreerimisest ja looma kihilise intellektiarhitektuuri, mis eraldab suuremahulise autonoomse triaaži väärtuslikust inimese kognitsioonist.

Kognitsiooni ja mahu eristamine

Kaasaegsed turvaoperatsioonid toimivad kolmes eraldi kihis. Alumises kihis genereerivad olemasolevad turbetööriistad nagu EDR, SIEM ja pilveidentiteedi platvormid toortelemeetriat ja hoiatusi. See kiht on peamine andmeallikas, kuid sellel puudub arutlusvõime, et eristada keerukat rünnakut valesti konfigureeritud administratiivsest skriptist.

Keskel asub autonoomne AI SOC kiht. See ei ole vestlusroboti liides. See on agentide süsteem, mis uurib pidevalt iga hoiatust, korreleerib tõendeid erinevate tööriistade vahel ja rakendab organisatsioonilist konteksti riski määramiseks. See kiht vähendab müra, lahendades ohutud hoiatused ilma inimese sekkumiseta.

Üleval on kognitiivne kiht, kus tegutsevad platvormid nagu Claude, Codex ja Cursor. See on interaktiivne ruum, kus vanemanalüütikud ja intsidentidele reageerijad teevad koostööd eesliini mudelitega spetsiifiliste probleemide lahendamiseks. Nende mudelite kasutamine ülemises kihis on tõhus, kuna need on loodud arutlemiseks, mitte tuhandete telemeetriavoogude korduvaks töötlemiseks. Igal kihil on konkreetne ülesanne ning kognitiivse kihi segamini ajamine autonoomse kihiga viib operatiivse ebatõhususeni.

Turbeanalüüsi tokenoomika

Arhitektuur on sageli majanduse kõrvalprodukt. Iga suhtlus suure keelemudeliga toob kaasa kulu, mida tavaliselt mõõdetakse tokenites. Üksik turvajuhtumi uurimine ei ole lihtne tekstipäring. See nõuab lõppseadmete telemeetria, protsessipuude, autentimislogide ja ohuinfo voogude töötlemist. See kontekst võib kiiresti tarbida tuhandeid tokeneid intsidendi kohta.

Varem eeldasid organisatsioonid, et üks tehisintellekti litsents suudab lahendada kõik uurimisvajadused. Nüüd näitab matemaatika, et üldotstarbelise LLM-i kasutamine iga informatiivse hoiatuse uurimiseks on finantsiliselt võimatu. Kui SOC saab 5000 hoiatust päevas ja saadab igaühe neist eesliini mudelile täielikuks kohtuekspertiisiks, ületavad iga-aastased API kulud kogu turvaosakonna eelarve.

Autonoomsed AI SOC platvormid lahendavad selle, kasutades vahemällu salvestatud konteksti ja valikulist arutlemist. Nad ei käsitle iga hoiatust kui värsket vestlust kalli mudeliga. Selle asemel kasutavad nad rutiinseks andmete kogumiseks deterministlikke töövooge ja kaasavad LLM-e ainult siis, kui on vaja konkreetset arutlusülesannet. See arhitektuurne lähenemine võimaldab uurida 100% hoiatustest, hoides kulud prognoositavatena. Claude'i kasutamine iga ohutu logi uurimiseks on nagu kirurgilise laseri kasutamine metsa langetamiseks; tööriist on täpne, kuid rakendus on arhitektuurselt sobimatu.

Andmete gravitatsioon ja MDR-i hõõrdepunkt

Paljud ettevõtted toetuvad oma turvaseire haldamisel hallatava tuvastamise ja reageerimise (MDR) pakkujatele. See tekitab andmete juurdepääsu asümmeetria. MDR-pakkuja omab tavaliselt uurimise töövoogu ja rikastatud telemeetriat. Klient näeb ainult lõplikku eskaleeritud intsidenti, mis piirab sisemiste tehisintellekti platvormide tõhusust.

Kui analüütik proovib kasutada Claude'i hoiatuse uurimiseks, puuduvad tal sageli toorandmed, mis on vajalikud mudelile piisava konteksti pakkumiseks. LLM ei saa arutleda andmete üle, mida ta ei näe. Seetõttu on kohalik autonoomne AI SOC kiht muutumas ettevõtte tehnoloogiapaki kriitiliseks komponendiks. See asub turbetööriistade kõrval, salvestab uurimise ajaloo ja loob kohaliku teadmusbaasi.

See arhitektuur võimaldab organisatsioonil säilitada institutsionaalseid teadmisi, selle asemel et jätta need kolmanda osapoole MDR-portaali. See tagab, et kui vanemanalüütik kasutab sellist tööriista nagu Claude, on vajalikud tõendid juba struktureeritud ja analüüsiks valmis. Autonoomne kiht toimib sillana toorete, hajutatud logide ja kõrgetasemelise kognitiivse töö vahel.

Informatiivsete hoiatuste peidetud risk

Enamik turvakeskusi ignoreerib madala kriitilisusega hoiatusi, kuna neil puudub inimressurss nende läbivaatamiseks. See prioriseerimine on inimkeskses mudelis paratamatus, kuid see on ka süsteemne haavatavus. 2025. aasta 25 miljoni hoiatuse analüüs näitas, et ligikaudu 1% kinnitatud turvaintsidentidest sai alguse madala kriitilisusega või informatiivsetest logidest.

Ründajad kasutavad sageli varjatud külgliikumise (lateral movement) tehnikaid, mis ei käivita kõrge kriitilisusega häireid. Üksik ebaõnnestunud sisselogimine või kahtlane, kuid mitte-pahaloomuline PowerShell-käsk on kergesti tähelepanuta jäetav. Autonoomne AI SOC muudab olukorda, pakkudes suutlikkust uurida kõike. Kuna masin ei väsi ja uurimise kulu on spetsialiseeritud arhitektuuri kaudu minimeeritud, ei määra hoiatuse "kriitilisus" enam seda, kas see pälvib tähelepanu. Iga hoiatust uuritakse ja ainult tõelised ohud jõuavad inimese kognitiivsesse kihti.

Kus eesliini mudelid pakuvad suurimat ROI-d

Kui autonoomne kiht tegeleb korduva triaažiga, muutuvad tehisintellekti platvormid nagu Claude oluliselt võimsamaks. Analüütikud ei kasuta neid enam põhiliseks andmete kogumiseks. Selle asemel keskenduvad nad suure mõjuga strateegilisele tööle.

Selguse huvides on kognitiivset kihti kõige parem kasutada:

• Uue tuvastusloogika arendamiseks ja testimiseks, tuginedes värskele ohuinfole.
• Põhjaliku kohtuekspertiisi läbiviimiseks keerukate, mitmeetapiliste intsidentide puhul.
• Tehniliste uurimiste kokkuvõtete tegemiseks juhtkonnale ja reguleerivatele asutustustele.
• Ohuotsinguks (threat hunting), genereerides keerukaid päringuid üle mitme andmejärve.
• Vanade tuvastusreeglite tõlkimiseks kaasaegsetesse päringukeeltesse nagu Sigma või KQL.

Selles mudelis töötavad inimene ja LLM koos probleemide kallal, mis nõuavad nüansse ja otsustusvõimet. Autonoomne süsteem tagab, et nende aega ei raisata kunagi 99% hoiatustele, mis on ohutud.

Tegevuskava: Kihilise tehisintellekti arhitektuuri ülesehitamine

Et liikuda tehisintellekti hirmust (FOMO) vastupidava kaitseni, peaksid turvajuhid järgima seda 6–12-kuulist teekava oma turvaoperatsioonide ümberstruktureerimiseks.

1. Auditeeri telemeetria torustikku (1.–2. kuu): Kaardista kõik andmeallikad ja tuvasta, kus telemeetriat hoitakse. Tee kindlaks, kas sinu MDR-pakkuja võimaldab reaalajas API-juurdepääsu toorlogidele ja uurimisartefaktidele.
2. Kihista tehisintellekti kulud (3.–4. kuu): Eralda kognitiivsete tööriistade (Claude, Cursor) eelarve autonoomse infrastruktuuri eelarvest. Ära püüa sundida ühte tööriista tegema mõlemat tööd.
3. Rakenda autonoomne triaažikiht (5.–8. kuu): Võta kasutusele süsteem, mis suudab automatiseerida kohtuekspertiisi andmete kogumise protsessi. Kontseptsiooni tõestamiseks keskendu esmalt madala kriitilisusega hoiatuste triaažiaja vähendamisele.
4. Kodifitseeri organisatsiooniline kontekst (9.–10. kuu): Loo sisedokumentatsiooni, võrgukaartide ja poliitikafailide hoidla, mida autonoomne süsteem saab kasutada volitatud administraatori tegevuse ja ründaja käitumise eristamiseks.
5. Täiusta analüütikute töövoogu (11.–12. kuu): Suuna 1. ja 2. taseme analüütikud tuvastusinsenerluse ja ohuotsingu suunale. Kasuta kognitiivseid tehisintellekti platvorme selle ülemineku toetamiseks, automatiseerides uute reeglite ja aruannete kirjutamist.

Selle arhitektuuri eesmärk ei ole inimeste eemaldamine turvakeskusest. See on tagada, et kompromiss ei muutuks katastroofiks, sest inimene oli liiga hõivatud müra triaažiga, et märguannet näha. Ellujäämine praeguses ohukeskkonnas sõltub arhitektuurist ja kiirusest, mitte ainult parematest tööriistadest.

Allikad:

• CISA (Cybersecurity and Infrastructure Security Agency) - Guidelines on AI Security and Triage.
• NIST (National Institute of Standards and Technology) - AI Risk Management Framework 1.0.
• Anthropic - Claude Enterprise and API Documentation.
• Internal analysis of telemetry trends and tokenomics in enterprise security operations (2025-2026).

Vastutuse välistamine: See artikkel on koostatud ainult informatiivsel ja hariduslikul eesmärgil ning see ei asenda professionaalset küberturbe auditit ega intsidentidele reageerimise teenust.