Cyware lancerer Last Mile AI Agents, der omsætter delt trusselsinformation til daglige prioriteter

En trusselsadvarsel kan nå frem til et mindre forsyningsselskab på få sekunder. Det kan tage langt længere tid at afgøre, om den er relevant – og hvad man skal gøre ved den. Cyware vil lukke dette hul med Last Mile Agents, en ny samling AI-agenter, der skal omsætte delt cybersikkerhedsinformation til daglige prioriteter for mindre organisationer.

Agenterne blev annonceret den 22. oktober og er målrettet medlemmer af netværk for deling af trusselsinformation, som modtager advarsler fra fællesskabs- eller statslige knudepunkter, men ikke har et dedikeret team til trusselsanalyse. I stedet for at give alle modtagere den samme læseliste vurderer agenterne ifølge Cyware de indgående oplysninger ud fra den enkelte organisations sektor, teknologi og driftsmiljø.

Den første udgivelse omfatter Vulnerability Watch og Threat Briefing, som begge understøttes af en Priority Intelligence Requirements-agent. Det umiddelbare resultat er prioriteret vejledning; automatiseret handling er en del af Cywares planer for den videre udvikling.

Fra delte advarsler til lokale prioriteter

Netværk for deling af trusselsinformation hjælper organisationer med at samle oplysninger om sårbarheder, angribere og nye kampagner. Værdien afhænger dog af, hvad der sker, efter at en advarsel er kommet frem. En stor virksomhed har måske analytikere, der kan sammenholde oplysningerne med virksomhedens systemer. En mindre virksomhed eller et andelsejet forsyningsselskab kan være afhængig af én enkelt sikkerhedsspecialist, som også tager sig af det daglige IT-arbejde.

Cywares tilgang adskiller efterretningsknudepunktets arbejde fra medlemmernes. Knudepunktet driver Cyware-platformen og udvælger og bearbejder trusselsinformationen. Ifølge annonceringen bruger tilsluttede medlemsorganisationer Last Mile Agents, der er tilpasset deres prioriteter, uden selv at skulle implementere platformen.

Denne forskel har betydning for udbredelsen. Tanken er at gøre et eksisterende samarbejde om deling mere nyttigt for modtagerne i stedet for at kræve, at hver mindre organisation opbygger en fuldt udbygget funktion for trusselsanalyse.

»Kollektivt forsvar er kun så stærkt som det sidste led, og det er sådan, vi gør det stærkt,« sagde Akshat Jain, Cywares teknologidirektør og medstifter, i annonceringen. Han sagde, at agenterne tager udgangspunkt i Priority Intelligence Requirements for at indfange, hvad der er relevant for den enkelte organisations miljø, og anvender denne kontekst på indkommende advarsler og sårbarheder.

Tre agenter med organisationens kontekst i centrum

Priority Intelligence Requirements-agenten, forkortet PIR-agenten, udgør fundamentet. Den indfanger, hvad der er vigtigt for en medlemsorganisation, og sammenholder løbende indkommende trusselsinformation med disse krav. I praksis skal det give systemet en operationel definition af relevans, før det prioriterer en trussel.

• PIR-agent: Fastlægger medlemmets prioriteter for trusselsinformation og bruger dem til at vurdere indkommende advarsler og oplysninger om sårbarheder.
• Vulnerability Watch-agent: Udarbejder en daglig prioriteret liste med kategorierne »handl«, »vær opmærksom« og »følg«, hvor udnyttelsesaktivitet og alvorlighed vurderes i forhold til medlemmets miljø.
• Threat Briefing-agent: Udarbejder en daglig, prioriteret briefing, der forklarer, hvilke udviklinger der kræver opmærksomhed, og hvorfor de er vigtige for det pågældende medlem.

Skellet mellem alvorlighed og relevans er centralt for udformningen. En alvorlig sårbarhed haster ikke lige meget for alle modtagere af en advarsel. En organisation skal forstå, om den berørte teknologi indgår i dens miljø, om sårbarheden bliver udnyttet, og hvordan problemet står i forhold til konkurrerende krav til organisationens tid.

Sådan passer Last Mile Agents ind i Cywares teknologi

Lanceringen udvider Cywares eksisterende portefølje af AI-agenter til også at omfatte andre end analytikere, der arbejder i efterretningsknudepunkter. Den bredere Agent Hub samler agenter i virksomhedens sikkerhedsprodukter og beskriver kontroller til konfigurerbar autonomi, menneskeligt tilsyn, godkendelse og revisionslogning. Disse platformfunktioner sætter Cywares strategi i perspektiv; den nye udgivelse handler specifikt om prioriteringer og briefinger rettet mod medlemmerne.

Bag denne strategi ligger udfordringen med at gøre forskelligartede trusselsoplysninger anvendelige. Cyware Intel Exchange understøtter indlæsning, deduplikering, berigelse og normalisering til STIX 2.1, et struktureret format til udveksling af trusselsinformation. Platformen forbinder også indikatorer, malware, kampagner og trusselsaktører og knytter modstanderes adfærd til MITRE ATT&CK. Disse funktioner er med til at forklare knudepunktets rolle: at organisere trusselsinformationen, før medlemsorganisationerne fortolker den ud fra deres egne prioriteter.

Virksomhedens særskilte produkt Cyware Orchestrate forbinder sikkerhedsarbejdsgange via API’er, webhooks og færdigbyggede integrationer. Det omfatter AI-assistance til oprettelse og fejlfinding af playbooks. Det er en del af Cywares bredere automatiseringstilbud, men må ikke forveksles med omfanget af lanceringen af Last Mile Agents: Cyware har automatiseret handling på køreplanen for de nye agenter.

Prøven er, om vejledningen ændrer arbejdsdagen

For mindre sikkerhedsteams skal en nyttig AI-briefing kunne mere end blot at sammenfatte en lang sikkerhedsvejledning i et kort afsnit. Den skal vise, hvad der er relevant, forklare sin rangordning og gøre den næste beslutning lettere. Kvaliteten af organisationens angivne krav – og hvor godt de fortsat er afstemt med dens skiftende omgivelser – vil derfor være vigtig for agenternes praktiske værdi.

Cywares annoncering indeholder ingen præstationsmålinger, priser eller målte resultater hos kunder for Last Mile Agents. Det første løfte er mere afgrænset og konkret: at give medlemmer med begrænsede ressourcer et dagligt overblik over, hvad der betyder mest, baseret på den efterretning, som deres netværk allerede deler.

Vulnerability Watch og Threat Briefing er de første tilgængelige agenter, drevet af PIR Agent. Cyware tilbyder også et webinar om sine AI-agenter. Det større potentiale er at gøre det kollektive forsvar nyttigt for andre end de organisationer, der allerede har analytikere nok til at fortolke det.