Kontextuální krize ve věku pokročilého umělého inteligentního systému: je zapotřebí umělá inteligence k obraně proti útokům založeným na umělém inteligentním systému

Bezpečnostní operace již nejsou omezeny lidskou rychlostí. Jsou předbíhány protivníky, kteří operují na rychlosti strojů, a využívají zranitelnosti často dlouho předtím, než je obránci vůbec zaznamenají. Modely pokročilého umělého inteligentního systému, jako je Claude Mythos, změnily hru ještě více, protože jsou schopny objevit zranitelnosti, které přežily desetiletí lidské kontroly a miliony automatizovaných testů. Co je ještě důležitější, tyto modely pokročilého umělého inteligentního systému mohou spojit zranitelnosti do komplexních, kritických cest útoků během několika sekund.

Moderní Bezpečnostní operativní centrum (SOC) nebylo navrženo pro tuto rychlost. Během desetiletí jsme škálovali telemetrii, ale analytici se topí v tisících denních oznámeních, zoufale hledajíce smysl mezi nesouvisejícími náznaky. Aby přežily útoky řízené umělým inteligentním systémem, musí se SOC vyvinout z lidského centra do operace řízené na rychlosti strojů.

Úspěch vyžaduje fundamentální posun od viditelnosti k reálnému kontextu. Zatímco umělý inteligentní systém umožňuje útočníkům získat hluboký přístup do sítě s bezprecedentní tajností, stále produkuje pozorovatelné artefakty, jako jsou autentizační události, pohyb dat a anomální chování. Nicméně, aby agenty obrany mohli čelit hrozbám na rychlosti strojů, musí organizace mít kontextualizační vrstvu, která transformuje surovou telemetrii do strukturovaného, strojově čitelného přehledu. Bez ní jsou agenti slepí.

Při přijímání bezpečnostních nástrojů řízených umělým inteligentním systémem je důležité si uvědomit, že autonomie bez strukturovaného kontextu pravděpodobně zavede více operačních rizik. Agenti, kteří jsou navrženi pro dohled a řízení systémů umělého inteligentního systému, potřebují více než jen samostatnou automatizaci – potřebují kontextové kontrolní vrstvy, aby se zabránilo halucinacím nebo kontextovému posunu. Bez této základny fungují systémy umělého inteligentního systému reaktivně, nikoli inteligentně.

Viditelnost bez pochopení

Každá organizace má jedinečný základ vztahů, chování a závislostí, a žádný umělý inteligentní systém nemůže dokonale fungovat v každé organizaci. Skutečná obrana založená na umělém inteligentním systému je efektivní pouze v případě, že dokáže pochopit tyto klíčové součásti, jak organizace funguje.

Tradiční SOC jsou postaveny na statických inventářích (periodických snímcích), izolovaných oznámeních, která postrádají historickou sekvenci, a lidsky řízených pracovních postupech, kde je analytik spojkou mezi kontextem a nástroji. Tento nedostatek pochopení nebo významu posouvá Průměrný čas k detekci (MTTD) do hodin nebo dnů, časových rámců, které již nejsou přijatelné proti útokům na rychlosti strojů.

Jak se agentic umělý inteligentní systém přesouvá z průzkumu do operačního nasazení v SOC, vidíme posun směrem k systémům schopným vykonávat bezpečnostní úkoly, spíše než pouze podporovat lidské analytiky. Tento posun mění očekávání kolem toho, co by mělo SOC dělat, a co stále vyžaduje lidskou účast.

Ale zatímco organizace spěchají nasadit umělý inteligentní systém napříč SOC operacemi, mnozí lídři dělají kritickou chybu, a to, že považují umělý inteligentní systém za náhradu analytiků, spíše než za urychlovač založený na kontextu. Zatímco velké jazykové modely (LLM) mohou shrnout oznámení, zlepšit vyšetřování a doporučovat akce, bez přesného pochopení prostředí, ve kterém fungují, jsou výstupy omezeny kvalitou informací, které obdrží.

Podnikové prostředí nejsou statická, a to je výzva. Aktiva jsou neustále přidávána nebo odebírána, zatímco identity mění role a oprávnění, a obchodní procesy se vyvíjejí v čase. Bezpečnostní týmy historicky spoléhaly na lidské analytiky, aby spojily tyto pohyblivé části během vyšetřování, ale tento přístup se nepřevádí do autonomních operací. Obrany na rychlosti strojů vyžadují základnu, která rozumí, jak systémy, uživatelé, aplikace a data interagují navzájem v reálném čase.

Kontext se stává důležitějším než podpůrná schopnost. Je to kritický operační systém pro agentic bezpečnost. Organizace, které uspějí v integraci umělého inteligentního systému do SOC, nemusí být nutně ty, které mají nejvýkonnější nástroje umělého inteligentního systému, ale ty, které mohou těmto nástrojům poskytnout nejúplnější obraz prostředí – podpořený daty. Vše ostatní v SOC závisí na tom, jak úplný a strukturovaný je kontext v okamžiku detekce nebo reakce.

Abychom se tam dostali, musí bezpečnostní týmy přehodnotit, jak shromažďují a provozují data napříč SOC.

Pět posunů směrem k připravenosti

Aby organizace znovu získaly výhodu, musí prioritizovat schopnost rychle interpretovat data nad jednoduchou schopností je shromažďovat.

1. Od seznamů aktiv k živé útočné ploše

Většina organizací se spoléhá na statický snímek, který nemůže držet krok s dynamickými změnami. Moderní útočná plocha, sahající od efemérních cloudových funkcí, stínového IT a koncových bodů modelů umělého inteligentního systému, často nemůže běžet tradiční EDR agent, což vytváří slepá místa, kde žijí kritické bezpečnostní logiky. Nemůžete triážovat záplavu oznámení, pokud nevíte, co provozujete nebo co se jí dotýká.

Odstranění této mezery vyžaduje reálnou viditelnost nastavenou v kontextu. To umožňuje SOC udržovat neustále aktualizovaný graf aktiv, který zachycuje nejen to, co existuje, ale i jeho typické aktivity a síť spojení.

2. Od oznámení k chápání chování

Detekce jsou izolované události, ale skutečné útoky jsou vzorce, které musí být rozpoznány v průběhu času. Například kompromitovaný agent umělého inteligentního systému neinstaluje pouze malware; využívá autorizovaný přístup neautorizovaným způsobem, dokud není nainstalován malware. Pozorování podivného chování před útočným chováním je klíčové v tomto ohledu. S behaviorálními základnami a porozuměním mohou bezpečnostní analytici přesunout od nesouvisejících událostí a korelovat aktivity do souvislého narativu.

3. Od analytiky řízených k agentům připraveným operacím

Pokud má SOC plnou závislost na lidech, aby sestavili kontext během vyšetřování, téměř vždy prohrávají proti hrozbám založeným na umělém inteligentním systému. Avšak autonomní agenti vyžadují předem vytvořený kontext, takže když triážní agent zachytí signál, musí být okamžitě splněn s vysokou fidelitou – ne surovými daty. Implementací speciální vrstvy obohacení, která koreluje data napříč čtyřmi vrstvami aktiv, identit, chování a hrozeb, se kontext stává skutečnou základnou.

Agenti SOC umělého inteligentního systému jsou novou třídou schopností, navrženou pro doplnění a automatizaci základních pracovních postupů SOC. Jejich účinnost však závisí na tom, zda jsou nasazeny do prostředí, kde je kontext již strukturován, korelován a udržován.

4. Od surové telemetrie k efektivnímu uvažování

Surová telemetrie je masivní, hlučná a prohibitivně drahá pro krmení do LLM. Směřování LLM na nefiltrované logy vede k degradovanému uvažování nebo halucinacím, přidávající více domněnek lidskému analytikovi a zpomalující vyšetřování.

Posunutí k vysoké hustotě signálu, dat, která jsou již obohacena a zkorelována, řeší tento problém. Již zsumovaná telemetrie, včetně toho, kdo, co a jak detekce, a odchylka od základny, může snadno signalizovat, zda je okamžitá vyšetřování odůvodněné. Soustředěním se na hluboké paketové důkazy pouze tehdy, když konkrétní hypotéza to vyžaduje, činí agentic SOC ekonomiku skutečně funkční.

Účinné systémy umělého inteligentního systému v SOC vyžadují strukturované kontroly napříč celým životním cyklem, od ingestování po reakci. To je proto, že kontext je to, co převádí signály na akční uvažování.

5. Od jednorozměrných dat k vícesvrstvému důkazu

Různé úkoly vyžadují různé typy dat pro identifikaci trendů, vztahů a anomálií, včetně metrik, metadat, detekcí a paketů. Tiered strategie lehkých dat pro kontinuální uvažování a hlubokých důkazů je nezbytná pro rovnováhu.

Pokročilý umělý inteligentní systém nezavedl pouze nové hrozby; vyžadoval novou architekturu pro obranu. Bezpečnost musí být sjednocena, adaptivní a nejvíce důležitá, zahrnující agentic schopnosti. Podniky, které budují vrstvy kontextu dnes, budou lépe připraveny setkat se s novým standardem pro bezpečnost v éře umělého inteligentního systému. Ty, které spoléhají na staré způsoby manuální korelace, budou nuceny reagovat na svět, který se pohybuje příliš rychle, než aby jej mohli vidět.

Operace SOC založené na umělém inteligentním systému vyžadují zcela nové modely řízení a operací, zdůrazňující, že schopnost produkovat vysoce kontextualizovaná data (nejen nástroje) určí, které organizace mohou škálovat nejbezpečněji a nejúčinněji. Bez toho bude automatizace škálovat pouze hluk, ne potřebnou inteligenci.