Architektura Dual-AI: Dlaczego modele ogólne to narzędzia, a autonomia SOC to infrastruktura

Szybkość wdrażania sztucznej inteligencji w cyberbezpieczeństwie stworzyła znaczną lukę strategiczną między tymi, którzy postrzegają AI jako chatbota, a tymi, którzy widzą w niej architekturę. Wcześniej liderzy bezpieczeństwa oceniali duże modele językowe (LLM) na podstawie ich zdolności do odpowiadania na pytania lub pisania skryptów. Obecnie rzeczywistość operacyjna pokazuje, że ogólnodostępne platformy AI, takie jak Claude i Cursor, różnią się od wyspecjalizowanej infrastruktury wymaganej do prowadzenia Centrum Operacji Bezpieczeństwa (SOC) o wysokim wolumenie zdarzeń.

Zespoły ds. bezpieczeństwa mierzą się ze środowiskiem zagrożeń, w którym atakujący wykorzystują AI do automatyzacji faz rozpoznania i eksploatacji w łańcuchu ataku (kill chain). Tradycyjny model zagrożeń, opierający się na szybkości reakcji człowieka w celu przechwycenia ataków o prędkości maszynowej, jest fundamentalnie niewydolny. Aby temu zaradzić, organizacje muszą wyjść poza podstawową integrację asystentów AI i ustanowić warstwową architekturę inteligencji, która oddziela masowy, autonomiczny triaż od wysokowartościowych procesów poznawczych człowieka.

Rozdział kognicji od wolumenu

Nowoczesne operacje bezpieczeństwa funkcjonują w trzech odrębnych warstwach. W warstwie podstawowej istniejące narzędzia bezpieczeństwa, takie jak EDR, SIEM i platformy tożsamości chmurowej, generują surową telemetrię i alerty. Ta warstwa jest głównym źródłem danych, ale brakuje jej zdolności rozumowania, aby odróżnić złożony atak od błędnie skonfigurowanego skryptu administracyjnego.

W środku znajduje się warstwa autonomicznego AI SOC. Nie jest to interfejs chatbota. Jest to system agentów, który w sposób ciągły bada każdy alert, koreluje dowody z rozproszonych narzędzi i stosuje kontekst organizacyjny w celu określenia ryzyka. Ta warstwa redukuje szum, rozwiązując łagodne alerty bez interwencji człowieka.

Na szczycie znajduje się warstwa kognitywna, w której działają platformy takie jak Claude, Codex i Cursor. Jest to przestrzeń interaktywna, w której starsi analitycy i osoby reagujące na incydenty współpracują z najnowocześniejszymi modelami w celu rozwiązywania specjalistycznych problemów. Wykorzystanie tych modeli w górnej warstwie jest skuteczne, ponieważ zostały one zaprojektowane do rozumowania, a nie do powtarzalnego przetwarzania tysięcy strumieni telemetrii. Każda warstwa ma określone zadanie, a pomylenie warstwy kognitywnej z autonomiczną prowadzi do nieefektywności operacyjnej.

Tokenomika rozumowania w bezpieczeństwie

Architektura jest często produktem ubocznym ekonomii. Każda interakcja z dużym modelem językowym generuje koszt, zazwyczaj mierzony w tokenach. Pojedyncze dochodzenie w sprawie bezpieczeństwa nie jest prostym zapytaniem tekstowym. Wymaga ono pobrania telemetrii z punktów końcowych, drzew procesów, logów uwierzytelniania i kanałów inteligencji o zagrożeniach. Ten kontekst może szybko skonsumować tysiące tokenów na incydent.

Wcześniej organizacje zakładały, że pojedyncza licencja AI rozwiąże każdą potrzebę dochodzeniową. Teraz matematyka pokazuje, że używanie ogólnego modelu LLM do badania każdego alertu informacyjnego jest finansową niemożliwością. Jeśli SOC otrzymuje 5000 alertów dziennie i wysyła każdy z nich do czołowego modelu w celu pełnej analizy śledczej, roczne koszty API przekroczą budżet całego działu bezpieczeństwa.

Autonomiczne platformy AI SOC rozwiązują ten problem, korzystając z pamięci podręcznej kontekstu i selektywnego rozumowania. Nie traktują każdego alertu jako nowej rozmowy z drogim modelem. Zamiast tego stosują deterministyczne przepływy pracy do rutynowego gromadzenia danych i angażują LLM tylko wtedy, gdy wymagane jest konkretne zadanie rozumowania. Takie podejście architektoniczne umożliwia badanie 100% alertów przy jednoczesnym zachowaniu przewidywalności kosztów. Używanie Claude do badania każdego niegroźnego logu jest jak używanie lasera chirurgicznego do wycinania lasu; narzędzie jest precyzyjne, ale zastosowanie stanowi niedopasowanie architektoniczne.

Grawitacja danych i punkt tarcia MDR

Wiele przedsiębiorstw polega na dostawcach usług Managed Detection and Response (MDR) w zakresie monitorowania bezpieczeństwa. Tworzy to asymetrię w dostępie do danych. Dostawca MDR zazwyczaj jest właścicielem przepływu pracy dochodzeniowej i wzbogaconej telemetrii. Klient widzi tylko ostateczny, eskalowany incydent, co ogranicza skuteczność wewnętrznych platform AI.

Jeśli analityk próbuje użyć Claude do zbadania alertu, często brakuje mu surowych danych potrzebnych do zapewnienia modelowi wystarczającego kontekstu. LLM nie może rozumować na danych, których nie widzi. Dlatego lokalna warstwa autonomicznego AI SOC staje się krytycznym elementem stosu technologicznego przedsiębiorstwa. Działa ona obok narzędzi bezpieczeństwa, rejestruje historię dochodzeń i buduje lokalną bazę wiedzy.

Taka architektura pozwala organizacji zachować wiedzę instytucjonalną, zamiast pozostawiać ją w portalu zewnętrznego dostawcy MDR. Gwarantuje to, że gdy starszy analityk skorzysta z narzędzia takiego jak Claude, niezbędne dowody są już ustrukturyzowane i gotowe do analizy. Warstwa autonomiczna działa jako most między surowymi, rozproszonymi logami a wysokopoziomową pracą poznawczą.

Ukryte ryzyko alertów informacyjnych

Większość centrów SOC ignoruje alerty o niskim priorytecie, ponieważ brakuje im zasobów ludzkich do ich przeglądania. Ta priorytetyzacja jest koniecznością w modelu zorientowanym na człowieka, ale jest również systemową podatnością. Analiza 25 milionów alertów w 2025 roku wykazała, że około 1% potwierdzonych incydentów bezpieczeństwa zaczęło się jako logi o niskim priorytecie lub informacyjne.

Atakujący często stosują dyskretne techniki poruszania się bocznego (lateral movement), które nie wyzwalają alarmów o wysokim priorytecie. Pojedyncze nieudane logowanie lub podejrzane, ale nie złośliwe polecenie PowerShell jest łatwe do przeoczenia. Autonomiczny AI SOC zmienia tę kalkulację, zapewniając zdolność do zbadania wszystkiego. Ponieważ maszyna się nie męczy, a koszt jednego dochodzenia jest zminimalizowany dzięki wyspecjalizowanej architekturze, „powaga” alertu nie decyduje już o tym, czy zostanie on sprawdzony. Każdy alert jest badany, a tylko prawdziwe zagrożenia docierają do ludzkiej warstwy kognitywnej.

Gdzie modele czołowe dostarczają najwyższy zwrot z inwestycji (ROI)

Gdy warstwa autonomiczna zajmuje się powtarzalnym triażem, platformy AI takie jak Claude stają się znacznie potężniejsze. Analitycy nie używają ich już do podstawowego gromadzenia danych. Zamiast tego koncentrują się na strategicznej pracy o wysokim znaczeniu.

Dla jasności, warstwa kognitywna najlepiej sprawdza się w:

• Opracowywaniu i testowaniu nowej logiki detekcji w oparciu o pojawiające się informacje o zagrożeniach.
• Przeprowadzaniu głębokiej analizy śledczej złożonych, wieloetapowych incydentów.
• Podsumowywaniu dochodzeń technicznych dla kadry kierowniczej i organów regulacyjnych.
• Poszukiwaniu zagrożeń (threat hunting) poprzez generowanie złożonych zapytań w wielu jeziorach danych.
• Tłumaczeniu starszych reguł detekcji na nowoczesne języki zapytań, takie jak Sigma lub KQL.

W tym modelu człowiek i LLM współpracują nad problemami wymagającymi niuansów i osądu. System autonomiczny dba o to, aby ich czas nie był marnowany na 99% alertów, które są niegroźne.

Plan działania: Budowa warstwowej architektury AI

Aby przejść od strachu przed pominięciem technologii (AI FOMO) do odpornej obrony, dyrektorzy ds. bezpieczeństwa informacji (CISO) powinni postępować zgodnie z poniższym 6-12 miesięcznym planem restrukturyzacji operacji bezpieczeństwa.

1. Audyt potoku telemetrii (Miesiąc 1-2): Zmapuj wszystkie źródła danych i zidentyfikuj miejsca ich przechowywania. Ustal, czy Twój dostawca MDR umożliwia dostęp w czasie rzeczywistym przez API do surowych logów i artefaktów dochodzeniowych.
2. Podział wydatków na AI (Miesiąc 3-4): Oddziel budżet na narzędzia kognitywne (Claude, Cursor) od budżetu na infrastrukturę autonomiczną. Nie próbuj zmuszać jednego narzędzia do wykonywania obu zadań.
3. Wdrożenie warstwy autonomicznego triażu (Miesiąc 5-8): Wdróż system, który może zautomatyzować proces gromadzenia danych śledczych. Skup się najpierw na skróceniu czasu triażu dla alertów o niskim priorytecie, aby potwierdzić koncepcję.
4. Kodyfikacja kontekstu organizacyjnego (Miesiąc 9-10): Zbuduj repozytorium wewnętrznej dokumentacji, map sieci i plików zasad, których system autonomiczny może użyć do odróżnienia autoryzowanej aktywności administratora od zachowania atakującego.
5. Udoskonalenie przepływu pracy analityków (Miesiąc 11-12): Przesuń analityków poziomu 1 i 2 w stronę inżynierii detekcji i poszukiwania zagrożeń. Wykorzystaj kognitywne platformy AI, aby wesprzeć tę transformację poprzez automatyzację pisania nowych reguł i raportów.

Celem tej architektury nie jest wyeliminowanie ludzi z SOC. Chodzi o zapewnienie, że naruszenie nie stanie się katastrofą tylko dlatego, że człowiek był zbyt zajęty segregowaniem szumu, by dostrzec sygnał. Przetrwanie w obecnym środowisku zagrożeń zależy od architektury i szybkości, a nie tylko od lepszych narzędzi.

Źródła:

• CISA (Cybersecurity and Infrastructure Security Agency) - Guidelines on AI Security and Triage.
• NIST (National Institute of Standards and Technology) - AI Risk Management Framework 1.0.
• Anthropic - Claude Enterprise and API Documentation.
• Wewnętrzna analiza trendów telemetrii i tokenomiki w operacjach bezpieczeństwa przedsiębiorstw (2025-2026).

Zastrzeżenie: Niniejszy artykuł służy wyłącznie celom informacyjnym i edukacyjnym i nie zastępuje profesjonalnego audytu cyberbezpieczeństwa ani usług reagowania na incydenty.