Kontekstkrise i AI-tidsalderen: Det tager AI til at forsvare mod AI

Sikkerhedsoperationer er ikke længere begrænsede af menneskelig hastighed. Det overhaler fjender, der opererer med maskinehastighed, udnytter svagheder ofte langt før forsvarerne overhovedet får det første signal. Frontier AI-modeller som Claude Mythos har ført til en skift i spillefeltet yderligere, kan opdage svagheder, der har overlevet årtiers menneskelig gennemgang og millioner af automatiserede tests. Endnu vigtigere er, at disse frontier AI-modeller kan kæde svagheder sammen i komplekse, kritiske udnyttelsesveje på få sekunder.

Den moderne Security Operations Center (SOC) var ikke designet til denne hastighed. I et årti har vi skaleret telemetri, men analytikere drukner i tusindvis af daglige alarmer, søger desperat efter mening blandt forskellige hints. For at overleve AI-koordinerede angreb må SOC udvikle sig fra et menneskecentreret hub til en maskinehastigheds-, agentdrevet operation.

Succes kræver en fundamental skift fra synlighed til realtidskontekst. Mens AI giver mulighed for, at fjender får dyb netværksadgang med uden precedent hemmelighed, producerer det stadig observerbare artefakter som godkendelseshændelser, dataforsflytning og usædvanlige adfærd. Men for at agensforsvar kan modstå maskinehastigheds-trusler, må organisationer besidde en kontekstualiseringslag, der omdanner rå telemetri til struktureret, maskinlæselig indsigt. Uden det er AI-agenter blinde.

Da virksomheder adopterer AI-drevne sikkerhedsværktøjer, er det vigtigt at huske, at autonomi uden struktureret kontekst sandsynligvis vil introducere mere operationel risiko. Agenter, der er designet til at overvåge og styre AI-systemer selv, har brug for mere end bare selvstændig automatisering – de har brug for kontekstuelle kontrollager for at undgå hallucination eller kontekstdrift. Uden den grundlag fungerer AI-systemer reaktivt snarere end intelligent.

Synlighed uden forståelse

Unik baseline af relationer, adfærd og afhængigheder, og ingen enkelt AI kan perfekt fungere inden for hver organisation. En sand AI-drevet forsvar er kun så effektiv som sin evne til at forstå disse nøglekomponenter af, hvordan en organisation fungerer.

Traditionelle SOC’er er bygget på statiske lager (periode-snapshots), isolerede alarmer, der mangler historisk sekvens, og menneske-paced arbejdsgange, hvor analytikerne er forbindelsen mellem kontekst og værktøjer. Mangel på forståelse eller mening skyder Mean Time to Detect (MTTD) ind i timer eller dage, tidsrammer, der simpelthen ikke længere er acceptabelt mod en maskinehastigheds-angreb.

Da agens AI bevæger sig fra eksploration til operationel udrulning inden for SOC’er, ser vi en skift mod systemer, der kan udføre sikkerhedstasks snarere end kun at støtte menneskelige analytikere. Denne skift ændrer forventninger om, hvad SOC skal gøre, versus hvad der stadig kræver menneskelig indblanding.

Men da organisationer kapløber for at udrulle AI på tværs af SOC-operationer, begår mange ledere en kritisk fejl, og det er at behandle AI som en erstatning for analytikere snarere end en accelerator bygget på kontekst. Mens Large Language Models (LLM’er) kan sammenfatte alarmer, forbedre undersøgelser og anbefale handlinger, er output begrænset af kvaliteten af den information, de modtager, hvis de ikke har en præcis forståelse af den omgang, de opererer i.

Virksomhedsomgivelser er ikke statiske, og det er udfordringen. Aktiver bliver konstant tilføjet eller fjernet, mens identiteter skifter roller og tilladelser, og forretningsprocesser udvikler sig over tid. Sikkerhedsteams har historisk set afhængigt af menneskelige analytikere til at forbinde disse flytende dele under en undersøgelse, men denne tilgang oversætter ikke til autonome operationer. Maskinehastigheds-forsvar kræver en grundlæggende forståelse af, hvordan systemer, brugere, programmer og data interagerer med hinanden i realtid.

Kontekst bliver mere vigtig end en støttende funktion. Det er det kritiske operativsystem for agensforsvar. Organisationerne, der lykkes med AI-integration i SOC, vil ikke nødvendigvis være dem med de mest avancerede AI-værktøjer, men dem, der kan give disse værktøjer den mest komplette billed af omgivelserne – bakket op af data. Alt andet i SOC afhænger af, hvor komplet og struktureret denne kontekst er på tidspunktet for opdagelse eller respons.

For at komme dertil må sikkerhedsteams omdefinere, hvordan de indsamler og operationaliserer data på tværs af SOC.

Fem skift mod beredskab

For at genvinde fordelen må organisationer prioritere evnen til at fortolke data hurtigt over den simple evne til at indsamle det.

1. Fra aktivlister til en levende angrebsflade

De fleste organisationer afhænger af en statisk snapshot, der ikke kan følge med dynamiske ændringer. Den moderne angrebsflade, der omfatter ephemeral cloud-funktioner, skygge-IT og AI-model-endpoints, kan ofte ikke køre en traditionel EDR-agent, hvilket efterlader blinde pletter, hvor kritisk sikkerhedslogik nu bor. Du kan ikke triage en oversvømmelse af afsløringer, hvis du ikke ved, hvad du kører eller hvad det rører.

At eliminere denne lukke kræver realtids-synlighed sat i kontekst. Dette giver SOC mulighed for at vedligeholde en kontinuerligt opdateret aktiv-graf, der ikke kun fanger, hvad der findes, men også dens typiske aktivitet og netværk af forbindelser.

2. Fra alarmer til adfærdsforståelse

Detektioner er isolerede begivenheder, men virkelige angreb er mønstre, der skal erkendes over en periode. For eksempel installerer en kompromitteret AI-agent ikke bare malware; den bruger godkendt adgang på ugodkendte måder, indtil malware er installeret. At bemærke underlige adfærd før angrebsadfærd er alarmeret, er nøgleher. Med adfærds-baselines og forståelse kan sikkerhedsanalytikere flytte sig væk fra forskellige begivenheder og korrelerer aktivitet til en sammenhængende fortælling.

3. Fra analytiker-drevet til agent-klar operation

Hvis en SOC har fuld tillid til mennesker for at samle kontekst under en undersøgelse, vil de næsten altid tabe mod en AI-drevet trussel. Men autonome agenter kræver forudbygget kontekst, så når en triage-agent får et signal, skal det mødes med en øjeblikkelig, høj-fidel dossier – ikke en rå data-dump. Ved at implementere en dedikeret berigelseslag, der korrelerer data på fire lag af aktiv, identitet, adfærd og trussel-relevans, bliver kontekst en sand grundlag.

AI SOC-agenter er en emergent kapacitetsklasse designet til at supplere og automatisere kerne-SOC-arbejdsgange. Men deres effektivitet afhænger af, om de er udrullet i omgivelser, hvor kontekst allerede er struktureret, korreleret og vedligeholdt.

4. Fra rå telemetri til effektiv fornuft

Rå telemetri er massiv, støjende og prohibitivt dyrt at føde ind i LLM’er. At pege en LLM på ufiltrede logs fører til degraderet fornuft eller hallucinationer, tilføjer mere gætteri til den menneskelige analytiker og langsommere undersøgelser.

At skifte til høj signal-tæthed, data, der allerede er beriget og korreleret, løser dette. Allerede sammenfattede telemetri, herunder hvem, hvad og hvordan af en detektion, og afvigelse fra baseline, kan let signalere, om en øjeblikkelig undersøgelse er berettiget. Ved at fokusere på dyb pakke-bevis kun, når en specifik hypotese kræver det, gør agens-SOC-økonomi faktisk arbejde.

Effektive AI-systemer i SOC kræver strukturerede kontroller på tværs af hele livscyklussen, fra indtagelse til respons. Dette skyldes, at kontekst er, hvad konverterer signaler til handlebar fornuft.

5. Fra ét-dimensionel data til fler-lags-bevis

Forskellige opgaver kræver forskellige data-typer for at identificere tendenser, relationer og anomalier, herunder metrics, metadata, detektioner og pakker. En lagdækket strategi for både let data til kontinuerlig fornuft og dyb bevis er afgørende for balance.

Frontier AI har ikke kun introduceret nye trusler; det har påkrævet en ny arkitektur for forsvar. Sikkerhed skal blive samlet, tilpas og vigtigst, inkorporere agens-kapaciteter. Virksomhederne, der bygger lag af kontekst i dag, vil være bedre forberedt til at møde den nye standard for sikkerhed i AI-tidsalderen. Dem, der afhænger af de gamle måder at korrelerer manuelt, vil blive tvunget til at reagere på en verden, der flytter sig for hurtigt til, at de kan se.

AI-drevne SOC-operationer kræver grundlæggende nye styre- og operationsmodeller, understreger, at evnen til at producere højkontekstuel data (ikke kun værktøjer) vil bestemme, hvilke organisationer kan skala mest sikkerhed og effektivt. Uden det vil automatisering kun skala støj, ikke den nødvendige intelligens.