Η Artemis παρουσιάζει το Orion-1, ένα μοντέλο κυβερνοάμυνας σχεδιασμένο για την ανακατασκευή επιθέσεων

Μια ύποπτη σύνδεση μπορεί να είναι η αρχή μιας διείσδυσης — ή ενός υπαλλήλου που εργάζεται από άγνωστη τοποθεσία. Το δύσκολο μέρος είναι να καθοριστεί τι συνέβη στη συνέχεια, ποια συστήματα εμπλέκονταν και εάν τα αποδεικτικά στοιχεία δικαιολογούν τη διακοπή της πρόσβασης κάποιου. Artemis Security στοιχηματίζει ότι ένα μοντέλο που εκπαιδεύεται ειδικά για αμυντικές λειτουργίες μπορεί να λαμβάνει αυτές τις αποφάσεις πιο αποτελεσματικά.

Η εταιρεία ανακοίνωσε Orion-1, ένα ιδιόκτητο μοντέλο βάσης για κυβερνοάμυνα που διερευνά απειλές σε ολόκληρα επιχειρησιακά συστήματα και παράγει μια απόφαση με δηλωμένη βεβαιότητα. Μπορεί να προτείνει μια αντίδραση ή να την εκτελέσει εντός των ορίων αυτονομίας που ορίζονται από τον πελάτη. Το Orion-1 διατίθεται μέσω της πλατφόρμας Artemis σε ιδιωτική προεπισκόπηση για επιλεγμένους πελάτες· δεν πρόκειται για γενική δημόσια κυκλοφορία.

Η ανακοίνωση θέτει ένα πρακτικό ερώτημα για τις ομάδες ασφαλείας: μπορεί η εξειδικευμένη τεχνητή νοημοσύνη να συνδέσει διασκορπισμένα αποδεικτικά στοιχεία σε μια αμυντική αφήγηση του περιστατικού, διατηρώντας ταυτόχρονα τον έλεγχο της εξουσιοδότησης δράσης;

Από ένα σήμα σε μια αμυντική περιγραφή μιας επίθεσης

Η Artemis περιγράφει το Orion-1 ως εργαλείο που επεξεργάζεται μια απειλή από το πρώτο της σήμα, ακολουθεί την έρευνα σε όλα τα επηρεαζόμενα συστήματα, φθάνει σε συμπέρασμα και προτείνει ή υλοποιεί μια αντίδραση. Η διάκριση είναι σημαντική, επειδή η αναγνώριση ενός ύποπτου συμβάντος και η κατανόηση ενός περιστατικού είναι διαφορετικές εργασίες.

Σκεφτείτε μια υποθετική ακολουθία που περιλαμβάνει μια ασυνήθιστη σύνδεση παρόχου ταυτότητας, μια αλλαγή δικαιωμάτων στο cloud και έναν νέο κανόνα γραμματοκιβωτίου. Κάθε γεγονός θα μπορούσε να έχει μια αθώα εξήγηση. Μαζί, θα μπορούσαν να υποδηλώνουν έναν παραβιασμένο λογαριασμό που μετακινείται μεταξύ υπηρεσιών. Ένας αποτελεσματικός αμυντικός πρέπει να καθορίσει εάν ο ίδιος δράστης συνδέει αυτά τα γεγονότα, να ορίσει τη σειρά τους και να δοκιμάσει εναλλακτικές εξηγήσεις. Μια συνοπτική περιγραφή από μόνη της δεν μπορεί να απαντήσει σε αυτά τα ερωτήματα.

Η τεχνική εισαγωγή στο Orion-1 της Artemis περιγράφει τη μετα-εκπαίδευση για αμυντικές εργασίες, βασισμένη σε εκατομμύρια λειτουργίες όπως έρευνες, κυνηγήσεις απειλών, μηχανική ανίχνευσης και αποκατάσταση. Η εταιρεία δηλώνει ότι τα δεδομένα πελατών δεν χρησιμοποιήθηκαν σε αυτήν την εκπαίδευση. Περιγράφεται επίσης ένα μοντέλο που μπορεί να αλλάξει την κατεύθυνση της έρευνας όταν η αρχική προσέγγιση αποτύχει.

Αυτές οι αποκαλύψεις βοηθούν στην εξήγηση της προοριζόμενης εξειδίκευσης, αλλά δεν καθορίζουν τη βασική αρχιτεκτονική του μοντέλου, τον αριθμό των παραμέτρων ή την καταγωγή του βασικού μοντέλου. Συνεπώς η ετικέτα «μοντέλο βάσης» πρέπει να διαβάζεται μαζί με την πιο συγκεκριμένη περιγραφή της αμυντικής μετα-εκπαίδευσης, αντί να θεωρείται απόδειξη ότι η Artemis εκπαίδευσε ένα εντελώς νέο γενικού σκοπού μοντέλο από το μηδέν.

Η ηγεσία του benchmark — και τι μετρά πραγματικά

Η Artemis αναφέρει ότι συνέκρινε το Orion-1 με τα Claude Opus 5.5, GPT-6 Sol, Grok 4.7 και Kimi K3 σε πέντε αμυντικές εργασίες: ανίχνευση, έρευνα, ανακατασκευή επίθεσης, κυνηγώντας απειλές και συσχέτιση δραστηριοτήτων. Σύμφωνα με την εταιρεία, το Orion-1 έδωσε κορυφαία απόδοση σε αυτές τις εργασίες.

Το πιο εξέχον αποτέλεσμα αφορά την ανακατασκευή επίθεσης: την τοποθέτηση των ενεργειών του επιτιθέμενου με τη σειρά που συνέβησαν.

Η διαφορά είναι 22,5 μονάδες βαθμολογίας. Πρόκειται για βαθμολογίες benchmark που αναφέρονται από τον προμηθευτή, όχι για ανεξάρτητα καθορισμένο ποσοστό των πραγματικών επιθέσεων που σταματήθηκαν. Το αποτέλεσμα επίσης δεν αποδεικνύει υπεροχή σε κάθε περίπτωση χρήσης κυβερνοασφάλειας.

Η Artemis ονομάζει την αξιολόγησή της Decision-Grade Readiness, ή DGR. Περιγράφει χιλιάδες εργασίες με πραγματικά δεδομένα, συγκρίσιμα αρχικά σήματα και περιβάλλον, καθώς και τις ίδιες περιορισμένες πηγές και επιτρεπόμενες ενέργειες για τα μοντέλα που συγκρίνονται. Η αξιολόγηση περιλαμβάνει αβλαβείς σενάρια που μοιάζουν με επιθέσεις και αξιολογεί τα αποδεικτικά στοιχεία που υποστηρίζουν μια απόφαση.

Αυτός ο σχεδιασμός αντιμετωπίζει ένα σημαντικό πρόβλημα: ένα σύστημα που επισημαίνει τα πάντα ως κακόβουλα μπορεί να φαίνεται προσεκτικό, ενώ δημιουργεί μια αχρησιμοποίητη ουρά. Η σωστή αναγνώριση μιας αβλαβούς περίπτωσης αποτελεί μέρος της αμυντικής ικανότητας. Ομοίως, η χρονολογική σειρά μπορεί να αποκαλύψει εάν η προτεινόμενη εξήγηση ταιριάζει πραγματικά με τα διαθέσιμα στοιχεία.

Το εναπομείναν ερώτημα είναι πόσο καλά το benchmark μεταφέρεται σε έναν συγκεκριμένο οργανισμό. Τα δημόσια υλικά κυκλοφορίας δεν παρέχουν επαρκείς λεπτομέρειες για ανεξάρτητη αναπαραγωγή της σύγκρισης τίτλου. Οι αγοραστές θα ωφελούνταν από τη διαφάνεια σχετικά με τη σύνθεση των εργασιών, τους κανόνες βαθμολόγησης, τη μεταβλητότητα επαναλαμβανόμενων εκτελέσεων, τις ρυθμίσεις του μοντέλου και την απόδοση σε άγνωστα περιβάλλοντα. Ένα συνολικό σκορ δεν μπορεί να αποκαλύψει εάν οι πιο σκληρές αποτυχίες αφορούν παραβίαση που δεν εντοπίστηκε, περιττή περιοριστική ενέργεια ή ελλιπή αποδεικτικά στοιχεία.

Γιατί η πλατφόρμα που το περιβάλλει είναι σημαντική

Το Orion-1 λειτουργεί μέσα σε μια μεγαλύτερη πλατφόρμα ασφαλείας. Αυτό το πλαίσιο είναι κεντρικό για την κατανόηση της ανακοίνωσης: η λογική του μοντέλου εξαρτάται από τις πληροφορίες και τα εργαλεία που του παρέχονται.

Η δυνατότητα Environment Intelligence της Artemis χαρτογραφεί χρήστες, λογαριασμούς, συσκευές, πόρους και πράκτορες AI, μαζί με τις σχέσεις τους και τους οργανωτικούς ρόλους. Η εταιρεία δηλώνει ότι δημιουργεί αυτό το πλαίσιο από πηγές όπως πάροχοι ταυτότητας, συστήματα HR, αρχεία περιουσιακών στοιχείων, συστήματα διαχείρισης υπηρεσιών και εσωτερικές βάσεις γνώσεων. Οι πελάτες μπορούν να διορθώσουν το οργανωτικό πλαίσιο και να εξετάσουν τις αποφάσεις των περιπτώσεων.

Σε πρακτικό επίπεδο, πρόκειται για μια προσπάθεια να δοθεί στον ερευνητή ένα σημείο αναφοράς για την αναμενόμενη συμπεριφορά. Μια προνομιούχα ενέργεια από έναν διαχειριστή κατά τη διάρκεια ενός εγκεκριμένου παραθύρου αλλαγής μπορεί να σημαίνει κάτι διαφορετικό από την ίδια ενέργεια από έναν αδρανή λογαριασμό. Το σχετικό ερώτημα γίνεται εάν η δραστηριότητα ταιριάζει με τους ρόλους και τις σχέσεις του οργανισμού.

Αυτό δημιουργεί μια εξάρτηση καθώς και ένα πλεονέκτημα. Εάν το αποθεματικό περιουσιακών στοιχείων είναι παλιό ή μια σχέση είναι λανθασμένα αναπαριστώμενη, το μοντέλο μπορεί να λογίζεται από εσφαλμένη υπόθεση. Η διατήρηση του μοντέλου περιβάλλοντος ακριβούς είναι επομένως μέρος της λειτουργίας του συστήματος, όχι απλώς μια διαδικασία ενσωμάτωσης.

Η investigation documentation της εταιρείας περιγράφει περιπτώσεις περιστατικών με χρονογραμμές δραστηριοτήτων και διατηρημένα αρχεία ερωτημάτων, ερωτήσεων, συμπερασμάτων και υποστηρικτικής τηλεμετρίας. Περιγράφει επίσης διορθώσεις αποφάσεων αναλυτών που τροφοδοτούν μεταγενέστερες έρευνες, με ενσωματώσεις σε εργαλεία όπως το Jira και το ServiceNow.

Για έναν αναλυτή, η ουσιαστική βελτίωση θα ήταν η λήψη μιας συνεκτικής, ελέγξιμης υπόθεσης αντί της χειροκίνητης συναρμολόγησης τμημάτων σε διαφορετικές κονσόλες. Για έναν ελεγκτή, το κλειδί είναι η δυνατότητα να εντοπιστεί ένα συμπέρασμα πίσω στην απόδειξη και να δει πού αρχίζει μια υπόθεση. Οι παραπομπές σε αποδείξεις κάνουν μια έρευνα πιο εύκολη στην επαλήθευση· δεν καθιστούν αυτόματα κάθε ερμηνεία σωστή.

Η αυτονομία είναι μια απόφαση άδειας

Η Artemis διαχωρίζει την ερευνητική δυνατότητα από την άδεια λήψης δράσης. Τα υλικά κυκλοφορίας της περιγράφουν την αυτονομία που ορίζεται από τον πελάτη, με προεπιλογή την ανθρώπινη έγκριση για ενέργειες υψηλού αντίκτυπου.

Οι response capabilities της πλατφόρμας περιλαμβάνουν ενέργειες όπως η ανάκληση μιας συνεδρίας, η απομόνωση ενός κεντρικού υπολογιστή, η απενεργοποίηση ενός κανόνα γραμματοκιβωτίου ή ο αποκλεισμός ενός τομέα. Η Artemis περιγράφει προεπισκοπήσεις επιπτώσεων, υποστηρικτικές αποδείξεις, αρχεία ελέγχου και ρυθμίσεις αυτονομίας που μπορούν να διαφέρουν ανά ενέργεια και σύνδεσμο.

Αυτή η λεπτομέρεια είναι πιο χρήσιμη από ένα ενιαίο διακόπτη αυτόνομου-ενεργού ή -ανενεργού. Μια ομάδα ασφαλείας μπορεί να επιτρέψει μια στενή, αντιστρέψιμη ενέργεια υπό ορισμένες συνθήκες, ενώ διατηρεί τις επιχειρησιακά κρίσιμες παρεμβάσεις για έγκριση. Το κατάλληλο όριο εξαρτάται από το επηρεαζόμενο σύστημα, το κόστος ενός ψευδούς θετικού και την ικανότητα ανάκτησης.

Η δηλωμένη εμπιστοσύνη απαιτεί επίσης ερμηνεία. Μια τιμή εμπιστοσύνης είναι χρήσιμη μόνο εάν αντιστοιχεί αξιόπιστα στην παρατηρούμενη ορθότητα σε σχετικές περιπτώσεις. Οι ομάδες πρέπει να εξετάσουν εάν η εμπιστοσύνη παραμένει χρήσιμη όταν η τηλεμετρία λείπει ή είναι αντιφατική, και εάν το σύστημα αναγνωρίζει ότι δεν διαθέτει επαρκή αποδείξεις για να αποφασίσει.

Ακόμη και μια τεχνικά αντιστρέψιμη ενέργεια μπορεί να έχει συνέπειες που δεν είναι αντιστρέψιμες στην πράξη: η επαναφορά πρόσβασης δεν ανακτά τον χρόνο που χάθηκε κατά τη διάρκεια μιας διακοπής. Η αξιολόγηση της ποιότητας της αντίδρασης απαιτεί επομένως προσοχή τόσο στην επιχειρησιακή επίπτωση όσο και στην ταχύτητα.

Τι πρέπει να αποδείξει η ιδιωτική προεπισκόπηση

Η πιο ισχυρή πρόταση του Orion-1 είναι ένας συντομότερος δρόμος από τα διασκορπισμένα σήματα σε μια απόφαση υποστηριζόμενη από αποδείξεις. Η βαθμολογία ανακατασκευής είναι μια υποσχόμενη ένδειξη εξειδίκευσης, όπως αναφέρει η εταιρεία, και η ενσωμάτωσή της με το πλαίσιο περιβάλλοντος και τους ελέγχους δράσης καθιστά την κυκλοφορία πιο ουσιαστική από ένα αυτόνομο chatbot ασφαλείας.

Η προεπισκόπηση θα πρέπει να αποδείξει εάν αυτά τα πλεονεκτήματα ισχύουν σε περιστατικά συγκεκριμένων πελατών και σε καλοπροαίρετη δραστηριότητα. Χρήσιμα μέτρα περιλαμβάνουν τις παραβλεπόμενες απειλές, τις ψευδείς κλιμακώσεις, το χρόνο ανασκόπησης του αναλυτή, την πληρότητα των αποδείξεων και τις συνέπειες της προτεινόμενης περιοριστικής ενέργειας. Οι ταχύτερες έρευνες έχουν τη μεγαλύτερη σημασία όταν οι ομάδες μπορούν να επαληθεύσουν τα συμπεράσματά τους χωρίς να τα ξαναχτίζουν.

Προς το παρόν, το Orion-1 αποτελεί μια στοχευμένη προσπάθεια εκπαίδευσης AI για την πραγματική εργασία της άμυνας: την κατανόηση μιας ακολουθίας, τη δοκιμή μιας εξήγησης και την επιλογή του κατάλληλου επόμενου βήματος. Η σημασία του θα εξαρτηθεί από το πόσο σταθερά αυτή η εργασία αντέχει σε έλεγχο σε πραγματικά περιβάλλοντα — όχι απλώς από το πού βρίσκεται η βαθμολογία σε ένα διάγραμμα κυκλοφορίας.