تضيف Swimlane إمكانات مخصصة لاكتشاف التهديدات المدعومة بالذكاء الاصطناعي ودعم MCP ثنائي الاتجاه إلى Turbine

يمكن لمحلل أمن يعمل بالذكاء الاصطناعي التحقيق سريعًا في تنبيه، لكنه لا يستطيع التحقيق في تحذير لم يصدر أصلًا. وتسعى Swimlane إلى سد هذه الفجوة بإضافة إمكانات جديدة تتيح للعملاء تحديد قواعد الكشف الخاصة بهم في منصة Turbine، ما يمكّن فرق الأمن من تطبيق منطقها الخاص على البيانات التشغيلية وإرسال التنبيهات الناتجة مباشرةً إلى Swimlane AI SOC.

يتضمن الإصدار الصادر في 28 أكتوبر أيضًا دعمًا ثنائي الاتجاه لبروتوكول Model Context Protocol (MCP)، ووكيل Hero AI لبناء التطبيقات. وتوسّع هذه الإضافات، مجتمعةً، نطاق منصة الشركة للأتمتة لتشمل ثلاث مهام مترابطة: تحديد الأنشطة التي تستحق التحقيق، وربط الوكلاء بالأدوات، وبناء التطبيقات التي تدعم سير العمل الأمني.

تقول Swimlane إن هذه الإمكانات متاحة عمومًا. ويعرضها الإعلان بوصفها إضافات إلى البنية التحتية الأمنية الحالية، بما في ذلك إدارة معلومات وأحداث الأمن (SIEM)، واكتشاف نقاط النهاية والاستجابة لها (EDR)، وأدوات أمن السحابة.

منح فرق الأمن التحكم في ما يتحول إلى تنبيه

تركّز منتجات كثيرة لمراكز عمليات الأمن المدعومة بالذكاء الاصطناعي (AI SOC) على فرز التنبيهات والتحقيق فيها والاستجابة لها بعد أن يكتشف نظام الكشف سلوكًا مريبًا. ويزداد هذا الفصل صعوبةً عندما تنشر المؤسسات وكلاءً ومساعدين ذكيين ونماذج محلية وخوادم MCP جديدة بوتيرة أسرع مما تستطيع منتجات الكشف الراسخة مواكبتها.

قد تحتاج شركة إلى التحقيق في معلومات حساسة أُرسلت إلى خدمة ذكاء اصطناعي غير مصرّح بها، أو استخدام غير متوقع لنموذج محلي، أو تعطيل أحد ضوابط الحماية، أو استهلاك وكيل موارد تتجاوز بكثير الميزانية المخصصة له. وترتبط بعض هذه الحالات بسياسات المؤسسة وبيئتها تحديدًا، لا بتوقيع عام يستطيع مورّد تحديده مسبقًا.

تتيح إمكانات Turbine الجديدة للفرق تشغيل منطق الكشف الخاص بها على البيانات المتاحة للمنصة. وتقول Swimlane إن إجراءً واحدًا لمعالجة البيانات الضخمة يمكنه تقييم عشرات الآلاف من السجلات عبر عُقد حوسبة متوازية، ثم توجيه التنبيه إلى AI SOC للتحقيق فيه والاستجابة له وفق ضوابط الحوكمة.

تقرب هذه البنية منطق الكشف من الأتمتة التي تتصرف بناءً على نتائجه. فبدلًا من تحديد الحالة على نحو منفصل وتجميع الخطوات التالية يدويًا، يمكن للفريق ربط قاعدته الخاصة بالمؤسسة بسير عمل قائم للتحقيق. ومع ذلك، تظل فائدة أي عملية كشف رهينة بتمثيل النشاط ذي الصلة في البيانات التي تستطيع Turbine الوصول إليها.

قال كودي كورنيل، الشريك المؤسس والرئيس التنفيذي لشركة Swimlane: «أمضت صناعة الأمن العامين الماضيين في مناقشة مدى الاستقلالية التي يمكن أن يعمل بها الذكاء الاصطناعي عند معالجة التنبيه، لكن ذلك يتجاوز سؤالًا أكثر أساسية: من أين أتى التنبيه؟»

ويصف الإصدار أيضًا إنشاء قواعد الكشف بمساعدة الذكاء الاصطناعي. إذ يمكن للفرق شرح نوع الكشف الذي تريده والاستفادة من إمكانات Turbine في إنشاء أدلة الإجراءات للمساعدة على بنائه. لكن إنشاء هذا المنطق والتأكد من أنه يحدد السلوك المقصود بموثوقية يظلان مهمتين منفصلتين؛ إذ ينبغي للقواعد الخاصة بالمؤسسة أن تراعي البيانات والأذونات والظروف في البيئة التي ستُشغَّل فيها.

التحقيق في أنظمة الذكاء الاصطناعي بوصفها مصادر محتملة للحوادث

تصف Swimlane هذه السيناريوهات بأنها الكشف عن التهديدات والاستجابة لها في أنظمة الذكاء الاصطناعي (AIDR): أي إن نظام الذكاء الاصطناعي نفسه يصبح موضوع الحادث. وهذا يختلف عن مجرد استخدام نموذج ذكاء اصطناعي لتلخيص تنبيه تقليدي بشأن تصيّد احتيالي أو نقطة نهاية.

يوضح حقن التعليمات هذا الاختلاف. فقد يصادف الوكيل تعليمات مضمنة في محتوى يعالجه، ما ينطوي على خطر تأثير مواد خارجية في سلوكه. وقد يتطلب التحقيق الفعّال فحص مدخلات الوكيل وأنشطته باستخدام الأدوات والإجراءات الناتجة عنها، بدلًا من البحث عن مؤشر برمجية خبيثة مألوف فحسب.

وبالمثل، قد تشير زيادة مفاجئة في الإنفاق إلى تعطل وكيل أو توجيهه على نحو خاطئ، من دون أن تشبه عملية اختراق تقليدية. ويتيح المنطق الذي يحدده العميل للفرق التعبير عما يُعدّ سلوكًا غير طبيعي في بيئتها الخاصة، شريطة توافر إشارات الاستخدام والتشغيل اللازمة.

إن حجم المعالجة المُعلن مواصفةٌ من الشركة، وليس معيارًا منشورًا لقياس الأداء في اكتشاف كل أشكال حقن التعليمات أو الاستخدام غير المصرّح به للذكاء الاصطناعي. ويتمثل التغيير العملي في حصول الفرق على مسار إضافي لتحويل ملاحظاتها الخاصة إلى حالات قابلة للتنفيذ، إلى جانب التنبيهات التي توفرها منتجات الأمن الراسخة.

يربط MCP الوكلاء والأتمتة في الاتجاهين

يوفر MCP واجهة مشتركة تتيح لتطبيقات الذكاء الاصطناعي استخدام الأدوات. ويدعم إصدار Swimlane الصادر في أكتوبر جانبي هذا الاتصال.

بصفتها مضيف MCP، تتيح Turbine لـ Hero AI الاتصال بخوادم MCP التابعة لجهات خارجية واستخدام أدواتها أثناء التحقيقات وأدلة الإجراءات، مع إدارة مركزية للمصادقة وضوابط الوصول. وبذلك، يمكن لسير العمل الأمني الاستعانة بإمكانات خارجية متوافقة مع MCP إلى جانب تكاملات واجهة برمجة التطبيقات (API) التي يستخدمها بالفعل.

وبصفتها خادم MCP، تتيح Turbine للأدوات الخارجية التي تعمل بالذكاء الاصطناعي الوصول إلى الأتمتة الخاضعة للحوكمة. ويذكر الإعلان Claude وChatGPT وCursor وGemini CLI وMicrosoft Copilot أمثلةً على العملاء القادرين على استدعاء مكونات Turbine، بما فيها أدلة الإجراءات متعددة الخطوات، ضمن ضوابط التحكم بالوصول القائمة على الأدوار.

هذا التمييز مهم. ففي الاتجاه الأول، يبادر وكيل Swimlane بالاتصال بنظام آخر. أما في الاتجاه الثاني، فيمكن لمساعد خارجي بدء سير عمل معتمد في Turbine. ويتيح ربط مساعد بدليل إجراءات قائم للمؤسسة إعادة استخدام الأتمتة والأذونات الموجودة لديها، بدلاً من إعادة إنشاء العملية التشغيلية داخل كل عميل للذكاء الاصطناعي.

تقول Swimlane إن Turbine قادر على الجمع بين أدوات MCP وواجهات برمجة التطبيقات التقليدية. وهذا يجعل الإعلان مهماً للبيئات التي لا تدعم فيها أنظمة سوى بعضها بروتوكول MCP؛ إذ يمكن للفرق دمج البروتوكول في سير عمل أوسع دون الحاجة إلى تغيير جميع عمليات التكامل القائمة دفعة واحدة.

إنشاء تطبيقات أمنية مع مراجعة بشرية

يعالج وكيل إنشاء التطبيقات Hero AI مصدراً آخر للعمل، وهو إعداد هياكل السجلات والتخطيطات وسير العمل التي تتطلبها حالة الاستخدام الأمني الجديدة. ويصف المستخدمون احتياجاتهم بلغة طبيعية، فينشئ الوكيل التطبيق المقابل أو يعدّله.

وفقاً للإعلان، تظل التغييرات المُنشأة غير محفوظة إلى أن يراجعها شخص. وتُبرز التغييرات، ويمكن للمستخدمين قبولها أو رفضها قبل حفظها. وتكتسب هذه الخطوة المتعلقة بالموافقة أهميتها لأن بنية التطبيق قد تؤثر في كيفية جمع المحللين للأدلة، ونقلهم الحالات بين المراحل، وتنفيذهم للاستجابة.

يستند الوكيل الجديد إلى مجموعة منتجات Hero AI الأوسع. وتصف مواد منتجات Swimlane وكلاء قائمين لاستيعاب البيانات، وإنشاء أدلة الإجراءات، وإعداد التصورات المرئية، والتحقيق، إلى جانب إمكانية اختيار نماذج لوكلاء فرديين. ويوسّع إنشاء التطبيقات نطاق هذه المساعدة ليشمل مساحة العمل التشغيلية المحيطة بهذه المهام.

الجمع بين استدلال الذكاء الاصطناعي والأتمتة القابلة للتنبؤ

تندرج هذه الإضافات ضمن نموذج التوجيه الخاص بـ Swimlane AI SOC، الذي يوجّه العمل بين الأتمتة الحتمية والتحقيق بمساعدة الذكاء الاصطناعي والتحقيق القائم بالكامل على الوكلاء، وفقاً لمتطلبات الاستدلال. ويمكن لأدلة الإجراءات القائمة معالجة الخطوات المألوفة، فيما يمكن للحالات الأكثر تعقيداً الاستفادة من التحقيق القائم على الوكلاء والمراجعة البشرية.

وهذا جانب مهم من تصميم المنتج: فليس من الضروري أن يمر كلٌّ من المهام عبر نموذج. إذ يمكن أن يظل تسلسل الاستجابة المعروف أتمتة تقليدية، بينما يساعد الوكيل على تفسير الأدلة غير المألوفة أو وضع خطة للتحقيق.

وتضيف إمكانية تحديد العملاء لعمليات الكشف قراراً مبكراً إلى هذا النموذج التشغيلي: ما الذي ينبغي أن يطلق العملية من الأساس؟ وبالنسبة إلى الفرق الأمنية التي تعتمد الذكاء الاصطناعي في مختلف أنحاء مؤسساتها، يتيح إصدار أكتوبر ربط معرفتها الخاصة بالسلوك المقبول بالأدوات التي تحقق في الأنشطة الخارجة عن هذا السلوك وتستجيب لها.