Cyware bringt Last Mile AI Agents auf den Markt, um gemeinsam genutzte Bedrohungsinformationen in tägliche Prioritäten umzuwandeln

Eine Warnung vor einer Bedrohung kann einen kleinen Versorger innerhalb von Sekunden erreichen. Zu entscheiden, ob sie relevant ist – und was dagegen zu tun ist –, kann jedoch deutlich länger dauern. Cyware will diese Lücke mit Last Mile Agents schließen: einer neuen Reihe von KI-Agenten, die gemeinsam genutzte Informationen zur Cybersicherheit für kleinere Organisationen in tägliche Prioritäten umwandeln sollen.

Die am 22. Oktober angekündigten Agenten richten sich an Mitglieder von Netzwerken zum Austausch von Bedrohungsinformationen, die von Community- oder staatlichen Zentren Warnmeldungen erhalten, aber über kein eigenes Team für Bedrohungsanalysen verfügen. Statt allen Empfängern dieselbe Leseliste vorzulegen, bewerten die Agenten laut Cyware eingehende Informationen anhand der Branche, der Technologie und des Betriebsumfelds der jeweiligen Organisation.

Die erste Version umfasst Vulnerability Watch und Threat Briefing. Beide werden von einem Agenten für vorrangige Informationsanforderungen unterstützt. Das unmittelbare Ergebnis sind priorisierte Handlungsempfehlungen; die automatisierte Umsetzung von Maßnahmen ist Teil der Pläne von Cyware für die weitere Entwicklung.

Gemeinsam genutzte Warnmeldungen in lokale Prioritäten umwandeln

Netzwerke zum Austausch von Bedrohungsinformationen helfen Organisationen, Informationen über Schwachstellen, Angreifer und neu aufkommende Kampagnen zusammenzuführen. Ihr Nutzen hängt jedoch davon ab, was nach Eingang einer Warnmeldung geschieht. Ein Großunternehmen verfügt möglicherweise über Analysten, die diese Informationen mit seinen Systemen abgleichen. Ein kleines Unternehmen oder ein genossenschaftlicher Versorger ist womöglich auf eine einzelne Fachkraft für IT-Sicherheit angewiesen, die zugleich routinemäßige IT-Aufgaben erledigt.

Cyware trennt bei seinem Ansatz die Aufgaben des Informationszentrums von denen seiner Mitglieder. Das Zentrum betreibt die Cyware-Plattform und bereitet die Informationen auf. Die angeschlossenen Mitgliedsorganisationen nutzen auf ihre Prioritäten zugeschnittene Last Mile Agents, ohne die Plattform selbst bereitstellen zu müssen, heißt es in der Ankündigung.

Diese Unterscheidung ist für die Einführung wichtig. Ziel ist es, eine bestehende Austauschbeziehung am empfangenden Ende nützlicher zu machen, statt jede kleine Organisation dazu zu verpflichten, einen vollständigen Betrieb für Bedrohungsanalysen aufzubauen.

„Die kollektive Verteidigung ist nur so stark wie ihr letztes Glied, und so machen wir es stark“, sagte Akshat Jain, CTO und Mitgründer von Cyware, in der Ankündigung. Die Agenten setzten bei vorrangigen Informationsanforderungen an, um zu erfassen, was für das Umfeld der jeweiligen Organisation relevant ist, und diesen Kontext auf eingehende Warnmeldungen und Schwachstellen anzuwenden, sagte er.

Drei Agenten, mit dem organisatorischen Kontext im Mittelpunkt

Der Agent für vorrangige Informationsanforderungen (Priority Intelligence Requirements, PIR) bildet die Grundlage. Er erfasst, was für eine Mitgliedsorganisation wichtig ist, und gleicht eingehende Informationen fortlaufend mit diesen Anforderungen ab. In der Praxis soll das dem System eine Arbeitsdefinition von Relevanz geben, bevor es eine Bedrohung einstuft.

• PIR-Agent: Legt die Informationsprioritäten des Mitglieds fest und nutzt sie, um eingehende Warnmeldungen und Informationen zu Schwachstellen zu bewerten.
• Vulnerability-Watch-Agent: Erstellt eine tägliche Prioritätenliste mit den Kategorien „Maßnahmen ergreifen“, „beachten“ und „verfolgen“. Dabei werden Aktivitäten zur Ausnutzung von Schwachstellen und deren Schweregrad im Verhältnis zum Umfeld des Mitglieds bewertet.
• Threat-Briefing-Agent: Erstellt täglich eine nach Priorität geordnete Zusammenfassung, die erläutert, welche Entwicklungen Aufmerksamkeit verdienen und warum sie für das jeweilige Mitglied relevant sind.

Die Unterscheidung zwischen Schweregrad und Relevanz ist ein zentraler Bestandteil des Konzepts. Eine schwerwiegende Schwachstelle ist nicht für jeden Empfänger einer Warnmeldung gleichermaßen dringend. Eine Organisation muss wissen, ob die betroffene Technologie zu ihrer Umgebung gehört, ob die Schwachstelle ausgenutzt wird und wie das Problem im Vergleich zu anderen Anforderungen an ihre Zeit einzuordnen ist.

Wie Last Mile Agents in die Technologie von Cyware eingebunden sind

Die Einführung erweitert Cywares bestehendes Portfolio an KI-Agenten über Analysten hinaus, die in Informationszentren arbeiten. Der übergeordnete Agent Hub bündelt Agenten in den Sicherheitsprodukten des Unternehmens und beschreibt Kontrollmöglichkeiten für konfigurierbare Autonomie, menschliche Aufsicht, Autorisierung und Audit-Protokollierung. Diese Plattformfunktionen bilden den Kontext für Cywares Strategie; die neue Version konzentriert sich ausdrücklich auf Priorisierungen und Briefings für Mitglieder.

Grundlage dieser Strategie ist die Herausforderung, unterschiedliche Bedrohungsinformationen nutzbar zu machen. Cyware Intel Exchange unterstützt die Aufnahme, Deduplizierung, Anreicherung und Normalisierung von Daten in STIX 2.1, einem strukturierten Format für den Austausch von Bedrohungsinformationen. Außerdem verknüpft es Indikatoren, Schadsoftware, Kampagnen und Bedrohungsakteure und ordnet das Verhalten von Angreifern dem MITRE ATT&CK-Framework zu. Diese Funktionen verdeutlichen die Rolle des Informationszentrums: Es organisiert die Informationen, bevor die Mitgliedsorganisationen sie anhand ihrer eigenen Prioritäten bewerten.

Das separate Produkt Cyware Orchestrate des Unternehmens verbindet Sicherheitsabläufe über APIs, Webhooks und vorgefertigte Integrationen. Es bietet KI-Unterstützung für das Erstellen und Beheben von Problemen in Playbooks. Dies gehört zum umfassenderen Automatisierungsangebot von Cyware, darf aber nicht mit dem Umfang der Einführung von Last Mile Agents verwechselt werden: Cyware sieht die automatisierte Umsetzung von Maßnahmen für diese neuen Agenten erst für eine spätere Entwicklungsphase vor.

Entscheidend ist, ob die Empfehlungen den Arbeitsalltag verändern

Für kleinere Sicherheitsteams muss ein nützliches KI-Briefing mehr leisten, als einen langen Sicherheitshinweis auf einen kurzen Absatz zu komprimieren. Es muss die Relevanz herausarbeiten, seine Einstufung erläutern und die nächste Entscheidung erleichtern. Die Qualität der von der Organisation angegebenen Anforderungen – und wie gut diese mit ihrem sich wandelnden Umfeld im Einklang bleiben – wird daher für den praktischen Nutzen der Agenten wichtig sein.

Cywares Ankündigung enthält keine Leistungsbenchmarks, Preisangaben oder gemessenen Kundenergebnisse für Last Mile Agents. Das anfängliche Versprechen ist enger gefasst und konkret: Mitgliedern mit knappen Ressourcen täglich einen Überblick darüber zu geben, was am wichtigsten ist, und dabei die Informationen zu nutzen, die ihre Netzwerke bereits verbreiten.

Vulnerability Watch und Threat Briefing sind die ersten verfügbaren Agenten und werden vom PIR Agent unterstützt. Cyware bietet außerdem ein Webinar zu seinen KI-Agenten an. Die größere Chance besteht darin, kollektive Verteidigung auch für Organisationen nützlich zu machen, die nicht bereits über genügend Analysten verfügen, um die Informationen auszuwerten.