Duālā AI arhitektūra: Kāpēc vispārīgie modeļi ir rīki, bet SOC autonomija — infrastruktūra

AI ieviešanas ātrums kiberdrošībā ir radījis ievērojamu stratēģisku plaisu starp tiem, kas uzskata AI par tērzēšanas robotu, un tiem, kas to uzskata par arhitektūru. Iepriekš drošības vadītāji vērtēja lielos valodas modeļus (LLM), pamatojoties uz to spēju atbildēt uz jautājumiem vai rakstīt skriptus. Tagad operatīvā realitāte ir tāda, ka vispārējas nozīmes AI platformas, piemēram, Claude un Cursor, atšķiras no specializētās infrastruktūras, kas nepieciešama liela apjoma drošības operāciju centra (SOC) darbībai.

Drošības komandas saskaras ar draudu vidi, kurā uzbrucēji izmanto AI, lai automatizētu uzbrukuma ķēdes (kill chain) izlūkošanas un ekspluatācijas fāzes. Tradicionālais draudu modelis, kas balstās uz cilvēka ātrumu, lai pārtvertu mašīnu ātruma uzbrukumus, ir fundamentāli novecojis. Lai to risinātu, organizācijām ir jāpāriet no pamata AI asistentu integrācijas un jāizveido daudzslāņu intelekta arhitektūra, kas nošķir liela apjoma autonomu triāžu no augstvērtīgas cilvēka kognīcijas.

Kognīcijas un apjoma nošķiršana

Mūsdienu drošības operācijas darbojas trīs atšķirīgos slāņos. Bāzes slānī esošie drošības rīki, piemēram, EDR, SIEM un mākoņa identitātes platformas, ģenerē neapstrādātu telemetriju un brīdinājumus. Šis slānis ir galvenais datu avots, taču tam trūkst spriešanas spēju, lai atšķirtu sarežģītu uzbrukumu no nepareizi konfigurēta administratīvā skripta.

Vidū atrodas autonomais AI SOC slānis. Tā nav tērzēšanas robota saskarne. Tā ir aģentu sistēma, kas nepārtraukti izmeklē katru brīdinājumu, korelē pierādījumus starp nesaistītiem rīkiem un piemēro organizācijas kontekstu, lai noteiktu risku. Šis slānis samazina troksni, atrisinot nekaitīgus brīdinājumus bez cilvēka iejaukšanās.

Augšpusē ir kognitīvais slānis, kurā darbojas tādas platformas kā Claude, Codex un Cursor. Šī ir interaktīvā telpa, kurā vecākie analītiķi un incidentu reaģētāji sadarbojas ar jaunākajiem modeļiem, lai risinātu specializētas problēmas. Šo modeļu izmantošana augšējā slānī ir efektīva, jo tie ir paredzēti spriešanai, nevis tūkstošiem telemetrijas plūsmu atkārtotai apstrādei. Katram slānim ir specifisks uzdevums, un kognitīvā slāņa sajaukšana ar autonomo slāni rada operatīvo neefektivitāti.

Drošības spriešanas tokenomika

Arhitektūra bieži vien ir ekonomikas blakusprodukts. Katra mijiedarbība ar lielu valodas modeli rada izmaksas, ko parasti mēra žetonos (tokens). Viena drošības izmeklēšana nav vienkārša teksta uzvedne. Tā prasa galiekārtu telemetrijas, procesu koku, autentifikācijas žurnālu un draudu izlūkošanas datu apstrādi. Šāds konteksts var ātri patērēt tūkstošiem žetonu katrā incidentā.

Iepriekš organizācijas pieņēma, ka viena AI licence var atrisināt visas izmeklēšanas vajadzības. Tagad matemātika rāda, ka vispārējas nozīmes LLM izmantošana katra informatīvā brīdinājuma izmeklēšanai ir finansiāli neiespējama. Ja SOC saņem 5000 brīdinājumu dienā un katru no tiem nosūta vadošajam modelim pilnai kriminālistikas analīzei, ikgadējās API izmaksas pārsniegs visas drošības nodaļas budžetu.

Autonomās AI SOC platformas to atrisina, izmantojot kešatmiņā saglabātu kontekstu un selektīvu spriešanu. Tās neuztver katru brīdinājumu kā jaunu sarunu ar dārgu modeli. Tā vietā tās izmanto deterministiskas darbplūsmas ikdienas datu vākšanai un piesaista LLM tikai tad, kad nepieciešams specifisks spriešanas uzdevums. Šāda arhitektūras pieeja ļauj izmeklēt 100% brīdinājumu, saglabājot prognozējamas izmaksas. Claude izmantošana katra nekaitīga žurnālfaila izmeklēšanai ir kā ķirurģiskā lāzera izmantošana meža tīrīšanai; rīks ir precīzs, taču pielietojums ir arhitektoniski neatbilstošs.

Datu gravitācija un MDR berzes punkts

Daudzi uzņēmumi paļaujas uz pārvaldītas noteikšanas un reaģēšanas (MDR) pakalpojumu sniedzējiem savas drošības uzraudzības pārvaldībai. Tas rada datu piekļuves asimetriju. MDR pakalpojumu sniedzējam parasti pieder izmeklēšanas darbplūsma un bagātinātā telemetrija. Klients redz tikai galīgo eskalēto incidentu, kas ierobežo iekšējo AI platformu efektivitāti.

Ja analītiķis mēģina izmantot Claude, lai izmeklētu brīdinājumu, viņam bieži trūkst neapstrādātu datu, kas nepieciešami, lai sniegtu modelim pietiekamu kontekstu. LLM nevar spriest par datiem, kurus tas neredz. Tāpēc lokāls autonomais AI SOC slānis kļūst par kritisku uzņēmuma tehnoloģiju steka sastāvdaļu. Tas atrodas līdzās drošības rīkiem, fiksē izmeklēšanas vēsturi un veido lokālu zināšanu bāzi.

Šī arhitektūra ļauj organizācijai saglabāt institucionālās zināšanas, nevis atstāt tās trešās puses MDR portālā. Tā nodrošina, ka tad, kad vecākais analītiķis izmanto tādu rīku kā Claude, nepieciešamie pierādījumi jau ir strukturēti un gatavi analīzei. Autonomais slānis kalpo kā tilts starp neapstrādātiem, izkaisītiem žurnālfailiem un augsta līmeņa kognitīvo darbu.

Informatīvo brīdinājumu slēptais risks

Lielākā daļa SOC ignorē zemas prioritātes brīdinājumus, jo tiem trūkst cilvēkresursu to pārskatīšanai. Šāda prioritāšu noteikšana ir nepieciešamība uz cilvēku orientētā modelī, taču tā ir arī sistēmiska ievainojamība. 25 miljonu brīdinājumu analīze 2025. gadā liecināja, ka aptuveni 1% apstiprināto drošības incidentu sākās kā zemas prioritātes vai informatīvi žurnālfaili.

Uzbrucēji bieži izmanto nemanāmas horizontālās pārvietošanās (lateral movement) tehnikas, kas neizraisa augstas prioritātes trauksmes. Vienu neveiksmīgu pieteikšanos vai aizdomīgu, bet ne ļaundabīgu PowerShell komandu ir viegli nepamanīt. Autonoms AI SOC maina situāciju, nodrošinot spēju izmeklēt visu. Tā kā mašīna nenogurst un izmaksas par izmeklēšanu tiek minimizētas, izmantojot specializētu arhitektūru, brīdinājuma "smagums" vairs nenosaka to, vai tam tiks pievērsta uzmanība. Katrs brīdinājums tiek izmeklēts, un tikai patiesie draudi sasniedz cilvēka kognitīvo slāni.

Kur jaunākie modeļi sniedz visaugstāko ROI

Kad autonomais slānis tiek galā ar atkārtotu triāžu, AI platformas, piemēram, Claude, kļūst ievērojami jaudīgākas. Analītiķi tās vairs neizmanto pamata datu vākšanai. Tā vietā viņi koncentrējas uz augstas ietekmes stratēģisko darbu.

Skaidrības labad, kognitīvo slāni vislabāk izmantot:

• Jaunas noteikšanas loģikas izstrādei un testēšanai, pamatojoties uz aktuālo draudu izlūkošanu.
• Dziļās kriminālistikas analīzes veikšanai sarežģītiem, daudzpakāpju incidentiem.
• Tehnisko izmeklēšanu kopsavilkumu sagatavošanai vadībai un regulējošajām iestādēm.
• Draudu medībām (threat hunting), ģenerējot sarežģītus vaicājumus vairākās datu krātuvēs.
• Mantoto noteikšanas noteikumu tulkošanai mūsdienīgās vaicājumu valodās, piemēram, Sigma vai KQL.

Šajā modelī cilvēks un LLM strādā kopā pie problēmām, kurām nepieciešama nianšu izpratne un spriedums. Autonomā sistēma nodrošina, ka viņu laiks nekad netiek tērēts 99% nekaitīgo brīdinājumu.

Rīcības plāns: Daudzslāņu AI arhitektūras izveide

Lai pārietu no AI FOMO uz noturīgu aizsardzību, CISO būtu jāievēro šis 6-12 mēnešu ceļvedis savu drošības operāciju pārstrukturēšanai.

1. Telemetrijas cauruļvada audits (1.-2. mēnesis): Kartējiet visus datu avotus un identificējiet, kur tiek glabāta telemetrija. Nosakiet, vai jūsu MDR pakalpojumu sniedzējs atļauj reāllaika API piekļuvi neapstrādātiem žurnālfailiem un izmeklēšanas artefaktiem.
2. AI tēriņu sadalīšana (3.-4. mēnesis): Nošķiriet budžetu kognitīvajiem rīkiem (Claude, Cursor) no budžeta autonomajai infrastruktūrai. Nemēģiniet piespiest vienu rīku veikt abus uzdevumus.
3. Autonomā triāžas slāņa ieviešana (5.-8. mēnesis): Ieviesiet sistēmu, kas var automatizēt kriminālistikas datu vākšanas procesu. Koncentrējieties uz zemas prioritātes brīdinājumu triāžas laika samazināšanu, lai vispirms pierādītu koncepciju.
4. Organizācijas konteksta kodificēšana (9.-10. mēnesis): Izveidojiet iekšējās dokumentācijas, tīkla karšu un politikas failu repozitoriju, ko autonomā sistēma var izmantot, lai atšķirtu autorizētu administratora darbību no uzbrucēja uzvedības.
5. Analītiķu darbplūsmas pilnveidošana (11.-12. mēnesis): Novirziet 1. un 2. līmeņa analītiķus uz noteikšanas inženieriju un draudu medībām. Izmantojiet kognitīvās AI platformas, lai atbalstītu šo pāreju, automatizējot jaunu noteikumu un ziņojumu rakstīšanu.

Šīs arhitektūras mērķis nav izslēgt cilvēkus no SOC. Tas ir nodrošināt, ka drošības pārkāpums nekļūst par katastrofu tāpēc, ka cilvēks bija pārāk aizņemts ar trokšņa šķirošanu, lai pamanītu signālu. Izdzīvošana pašreizējā draudu vidē ir atkarīga no arhitektūras un ātruma, nevis tikai no labākiem rīkiem.

Avoti:

• CISA (Kiberdrošības un infrastruktūras drošības aģentūra) - Vadlīnijas par AI drošību un triāžu.
• NIST (Nacionālais standartu un tehnoloģiju institūts) - AI riska pārvaldības ietvars 1.0.
• Anthropic - Claude Enterprise un API dokumentācija.
• Iekšējā telemetrijas tendenču un tokenomikas analīze uzņēmumu drošības operācijās (2025-2026).

Atruna: Šis raksts ir paredzēts tikai informatīviem un izglītojošiem nolūkiem un neaizstāj profesionālu kiberdrošības auditu vai incidentu reaģēšanas pakalpojumu.