ИИ преобразует сферу безопасности, обеспечивая 10-кратный рост эффективности

При поддержке Splunk, компании Cisco

Поскольку искусственный интеллект стремительно превращается из теоретического обещания в оперативную реальность, специалисты по информационной безопасности (CISO) и директора по ИТ (CIO) сталкиваются с фундаментальной проблемой: как использовать преобразующий потенциал ИИ, сохраняя при этом человеческий контроль и стратегическое мышление, которых требует безопасность. Появление агентного ИИ меняет сферу операций по безопасности, но для успеха необходим баланс между автоматизацией и подотчетностью.

Парадокс эффективности: Автоматизация без отказа от ответственности

Давление с целью внедрения ИИ огромно. Организации подталкивают к сокращению штата или перенаправлению ресурсов на инициативы, управляемые ИИ, часто без полного понимания того, что влечет за собой эта трансформация. Перспективы заманчивы: ИИ может сократить время расследования с 60 минут всего до 5 минут, потенциально обеспечивая 10-кратный рост производительности аналитиков безопасности.

Однако критически важный вопрос заключается не в том, может ли ИИ автоматизировать задачи, а в том, какие задачи следует автоматизировать и где человеческое суждение остается незаменимым. Ответ кроется в понимании того, что ИИ превосходно справляется с ускорением рабочих процессов расследования, но действия по устранению последствий и реагированию по-прежнему требуют проверки человеком. Отключение системы от сети или помещение конечной точки на карантин может оказать колоссальное влияние на бизнес. ИИ, принимающий такое решение автономно, может непреднамеренно вызвать именно те сбои, которые он призван предотвратить.

Цель состоит не в том, чтобы заменить аналитиков безопасности, а в том, чтобы освободить их для более ценной работы. Когда рутинная триада алертов автоматизирована, аналитики могут сосредоточиться на учениях Red Team/Blue Team, сотрудничать с инженерными группами в вопросах устранения уязвимостей и заниматься проактивным поиском угроз. Проблем безопасности хватает — не хватает экспертов по безопасности, способных решить их стратегически.

Дефицит доверия: Демонстрация хода мысли

Хотя уверенность в способности ИИ повышать эффективность высока, скептицизм в отношении качества решений, принимаемых ИИ, остается значительным. Командам безопасности нужны не просто сгенерированные ИИ выводы — им необходима прозрачность в отношении того, как эти выводы были получены.

Когда ИИ определяет, что оповещение является безопасным, и закрывает его, аналитикам SOC необходимо понимать этапы расследования, которые привели к такому выводу. Какие данные были изучены? Какие паттерны были выявлены? Какие альтернативные объяснения рассматривались и были исключены?

Эта прозрачность укрепляет доверие к рекомендациям ИИ, позволяет проверять логику ИИ и создает возможности для непрерывного совершенствования. Что еще более важно, она сохраняет критически важного человека в контуре (human-in-the-loop) для принятия сложных решений, требующих детального понимания контекста бизнеса, требований комплаенса и потенциальных каскадных последствий.

Будущее, вероятно, предполагает гибридную модель, в которой автономные возможности интегрируются в управляемые рабочие процессы и плейбуки, а аналитики продолжают участвовать в принятии сложных решений.

Преимущество злоумышленников: Борьба с ИИ с помощью ИИ — с осторожностью

ИИ представляет собой палку о двух концах в сфере безопасности. В то время как мы осторожно внедряем ИИ с надлежащими защитными механизмами, злоумышленники не связаны такими ограничениями. ИИ снижает порог входа для злоумышленников, позволяя быстро создавать эксплойты и обнаруживать уязвимости в больших масштабах. То, что раньше было уделом искушенных злоумышленников, вскоре может стать доступным для начинающих хакеров (скрипт-кидди), вооруженных инструментами ИИ.

Асимметрия поразительна: защитники должны быть вдумчивыми и избегать рисков, в то время как злоумышленники могут свободно экспериментировать. Если мы совершим ошибку при внедрении автономного реагирования на угрозы, мы рискуем вывести из строя производственные системы. Если созданный злоумышленником эксплойт на базе ИИ не срабатывает, они просто пробуют снова без каких-либо последствий.

Это создает необходимость использовать ИИ в защитных целях, но с надлежащей осторожностью. Мы должны учиться на методах злоумышленников, сохраняя при этом защитные барьеры, которые не позволяют нашему ИИ стать уязвимостью. Недавнее появление вредоносных атак на цепочку поставок MCP (Model Context Protocol) демонстрирует, как быстро злоумышленники используют новую инфраструктуру ИИ.

Дилемма навыков: Наращивание потенциала при сохранении ключевых компетенций

По мере того как ИИ берет на себя все больше рутинной работы по расследованию, возникает закономерный вопрос: атрофируются ли со временем фундаментальные навыки специалистов по безопасности? Это не аргумент против внедрения ИИ, а призыв к целенаправленным стратегиям развития навыков. Организации должны сбалансировать эффективность, обеспечиваемую ИИ, с программами, поддерживающими базовые компетенции. Это включает в себя регулярные учения, требующие ручного расследования, перекрестное обучение, углубляющее понимание базовых систем, и карьерные пути, которые развивают роли, а не устраняют их.

Ответственность разделена. Работодатели должны предоставлять инструменты, обучение и культуру, которые позволяют ИИ дополнять человеческий опыт, а не заменять его. Сотрудники должны активно заниматься непрерывным обучением, рассматривая ИИ как партнера по сотрудничеству, а не как замену критическому мышлению.

Кризис идентичности: Управление взрывом агентов

Возможно, наиболее недооцененная проблема в будущем — это управление идентификацией и доступом в мире агентного ИИ. IDC оценивает количество агентов в 1.3 миллиарда к 2028 году — и каждому из них требуются удостоверение личности, разрешения и управление. Сложность возрастает экспоненциально.

Чересчур либеральные в плане доступа агенты представляют собой значительный риск. Агент с широкими административными правами может быть подвергнут социальной инженерии для совершения деструктивных действий, одобрения мошеннических транзакций или эксфильтрации конфиденциальных данных. Технические уловки, к которым прибегают инженеры, чтобы «просто заставить это работать» — предоставление чрезмерных разрешений для ускорения развертывания — создают уязвимости, которые используют злоумышленники.

Контроль доступа на основе инструментов предлагает один из путей решения, предоставляя агентам только те специфические возможности, которые им необходимы. Но структуры управления также должны учитывать то, как сами языковые модели (LLM) могут изучать и сохранять информацию об аутентификации, потенциально допуская атаки с выдачей себя за другое лицо, которые обходят традиционные средства контроля доступа.

Путь вперед: Начните с комплаенса и отчетности

На фоне этих проблем одна область предлагает немедленные возможности с высокой отдачей: непрерывное соблюдение нормативных требований (комплаенс) и отчетность о рисках. Способность ИИ обрабатывать огромные объемы документации, интерпретировать сложные требования и генерировать краткие резюме делает его идеальным инструментом для работы по комплаенсу и отчетности, которая традиционно отнимала колоссальное время у аналитиков. Это представляет собой низкорисковую точку входа с высокой ценностью для ИИ в операциях безопасности.

Основа для данных: Создание SOC на базе ИИ

Ни одна из этих возможностей ИИ не сможет увенчаться успехом без решения фундаментальных проблем с данными, с которыми сталкиваются операции безопасности. Команды SOC борются с изолированными данными и разнородными инструментами. Успех требует продуманной стратегии работы с данными, которая отдает приоритет доступности, качеству и единому контексту данных. Данные, имеющие отношение к безопасности, должны быть немедленно доступны агентам ИИ без трений, должным образом управляться для обеспечения надежности и обогащаться метаданными, которые предоставляют бизнес-контекст, недоступный для понимания ИИ.

Заключительная мысль: Инновации с умыслом

Автономный SOC появляется не как выключатель, который можно щелкнуть, а как эволюционный путь, требующий постоянной адаптации. Успех требует, чтобы мы использовали преимущества ИИ в плане эффективности, сохраняя при этом человеческие суждения, стратегическое мышление и этический контроль, которых требует безопасность.

Мы не заменяем команды безопасности искусственным интеллектом. Мы строим совместные многоагентные системы, в которых человеческий опыт направляет возможности ИИ к результатам, которых ни один из них не смог бы достичь в одиночку. В этом и заключается перспектива эпохи агентного ИИ — если мы будем подходить к ее достижению осознанно.

Таня Фаддул (Tanya Faddoul), вице-президент по продуктам, клиентской стратегии и руководитель аппарата в Splunk, компании Cisco. Майкл Фэннинг (Michael Fanning) — директор по информационной безопасности в Splunk, компании Cisco.

Cisco Data Fabric предоставляет необходимую архитектуру данных на базе платформы Splunk — унифицированную структуру данных, возможности федеративного поиска, комплексное управление метаданными — для раскрытия всего потенциала ИИ и SOC. Узнайте больше о Cisco Data Fabric.

Спонсорские материалы — это контент, подготовленный компанией, которая либо платит за публикацию, либо имеет деловые отношения с VentureBeat, и они всегда четко маркируются. Для получения дополнительной информации обращайтесь по адресу sales@venturebeat.com.