Swimlane lisää Turbineen mukautetut tekoälyuhkien tunnistukset ja kaksisuuntaisen MCP-tuen

Tekoälypohjainen tietoturva-analyytikko voi tutkia hälytyksen nopeasti, mutta se ei voi tutkia varoitusta, jota ei ole koskaan luotu. Swimlane pyrkii paikkaamaan tämän aukon tuomalla Turbine-alustaansa uusia asiakkaiden määrittelemiä tunnistusominaisuuksia, joiden avulla tietoturvatiimit voivat soveltaa omaa logiikkaansa operatiiviseen dataan ja ohjata syntyvät hälytykset suoraan Swimlane AI SOC -järjestelmään.

Lokakuun 28. päivän julkaisu tuo mukanaan myös kaksisuuntaisen Model Context Protocol (MCP) -tuen ja Hero AI -sovellusten rakentaja-agentin. Yhdessä nämä lisäykset laajentavat yhtiön automaatioalustaa kolmeen toisiinsa liittyvään tehtävään: sen ratkaisemiseen, mikä toiminta vaatii tutkimista, agenttien yhdistämiseen työkaluihin sekä tietoturvan työnkulkua tukevien sovellusten rakentamiseen.

Swimlanen mukaan ominaisuudet ovat yleisesti saatavilla. Yhtiö esittelee ne nykyisen tietoturvainfrastruktuurin täydennyksinä. Tähän infrastruktuuriin kuuluvat tietoturvatietojen ja tapahtumien hallintajärjestelmät (SIEM), päätelaitteiden tunnistus- ja torjuntajärjestelmät (EDR) sekä pilvitietoturvatyökalut.

Tietoturvatiimit voivat päättää, mistä syntyy hälytys

Monet tekoälypohjaiset tietoturvakeskustuotteet keskittyvät tapahtumien luokitteluun, tutkimiseen ja niihin reagoimiseen sen jälkeen, kun tunnistusjärjestelmä on havainnut epäilyttävää toimintaa. Tämä työnjako käy hankalammaksi, kun organisaatiot ottavat käyttöön uusia agentteja, copilotteja, paikallisia malleja ja MCP-palvelimia nopeammin kuin vakiintuneet tunnistustuotteet pystyvät mukautumaan niihin.

Yrityksen voi olla tarpeen tutkia, onko arkaluonteisia tietoja lähetetty luvattomaan tekoälypalveluun, onko paikallista mallia käytetty odottamattomalla tavalla, onko suojamekanismi poistettu käytöstä tai kuluttaako agentti resursseja huomattavasti aiottua budjettia enemmän. Osa tällaisista tilanteista riippuu organisaation omista käytännöistä ja toimintaympäristöstä, eikä kyse ole yleispätevästä tunnisteesta, jonka toimittaja voisi määritellä etukäteen.

Uusien Turbine-ominaisuuksien avulla tiimit voivat suorittaa omia tunnistuslogiikkojaan alustalla saatavilla olevaan dataan. Swimlanen mukaan yksi laajamittainen dataoperaatio voi arvioida kymmeniätuhansia tietueita rinnakkaisilla laskentasolmuilla ja ohjata sen jälkeen hälytyksen AI SOC -järjestelmään tutkittavaksi ja hallitusti käsiteltäväksi.

Tämä arkkitehtuuri tuo tunnistuslogiikan lähemmäs automaatiota, joka toimii sen tulosten perusteella. Sen sijaan, että tiimi tunnistaisi tilanteen erikseen ja kokoaisi seuraavat vaiheet manuaalisesti, se voi yhdistää organisaatiokohtaisen sääntönsä olemassa olevaan tutkintatyönkulkuun. Tunnistuksen hyödyllisyys riippuu silti siitä, näkyykö olennainen toiminta datassa, johon Turbine pääsee käsiksi.

”Tietoturva-alalla on viimeiset kaksi vuotta keskusteltu siitä, miten itsenäisesti tekoäly voi käsitellä hälytyksen, mutta keskustelussa sivuutetaan perustavampi kysymys: mistä hälytys tuli?” sanoi Cody Cornell, Swimlanen toinen perustaja ja toimitusjohtaja.

Julkaisussa esitellään myös tekoälyn avustamaa tunnistusten luontia. Tiimit voivat kuvailla haluamansa tunnistuksen ja hyödyntää Turbinen pelikirjojen luontiominaisuuksia sen rakentamisessa. Logiikan luominen ja sen varmistaminen, että se tunnistaa tarkoitetun toiminnan luotettavasti, ovat kuitenkin eri asioita: organisaatiokohtaisten sääntöjen on vastattava sen ympäristön dataa, käyttöoikeuksia ja olosuhteita, jossa niitä käytetään.

Tekoälyjärjestelmät mahdollisina tietoturvapoikkeamien lähteinä

Swimlane kutsuu tällaisia tilanteita tekoälyn tunnistamiseksi ja torjunnaksi eli AIDR:ksi: tietoturvapoikkeaman kohteena on itse tekoälyjärjestelmä. Tämä eroaa siitä, että tekoälymallia käytetään tavanomaisen tietojenkalastelu- tai päätelaitteeseen liittyvän hälytyksen tiivistämiseen.

Kehotteen manipulointi havainnollistaa tätä eroa. Agentti voi kohdata käsittelemäänsä sisältöön upotettuja ohjeita, jolloin ulkopuolinen aineisto saattaa vaikuttaa sen toimintaan. Hyödyllinen tutkinta voi edellyttää agentin syötteiden, työkalujen käytön ja sen seurauksena tekemien toimien tarkastelua sen sijaan, että etsittäisiin vain tuttua haittaohjelman tunnistetta.

Samoin odottamaton kulutuspiikki voi viitata toimintahäiriöön tai väärään suuntaan ohjautuneeseen agenttiin, vaikka se ei muistuttaisi perinteistä tunkeutumista. Asiakkaiden määrittelemien logiikkojen avulla tiimit voivat kuvata, mikä on niiden omassa käyttöönotossa poikkeavaa, kunhan tarvittavat käyttö- ja toimintatiedot ovat saatavilla.

Ilmoitettu käsittelykapasiteetti on yhtiön ilmoittama tekninen ominaisuus, ei julkaistu vertailutestitulos, joka osoittaisi järjestelmän tunnistavan kaikki kehotteiden manipuloinnin tai luvattoman tekoälyn käytön muodot. Käytännössä tiimit saavat uuden tavan muuttaa omat havaintonsa toimintaa vaativiksi tapauksiksi vakiintuneiden tietoturvatuotteiden tuottamien hälytysten rinnalla.

MCP yhdistää agentit ja automaation molempiin suuntiin

MCP tarjoaa yhteisen rajapinnan, jonka kautta tekoälysovellukset voivat käyttää työkaluja. Swimlanen lokakuun julkaisu tukee yhteyden kumpaakin suuntaa.

MCP-isäntänä Turbine antaa Hero AI:lle mahdollisuuden yhdistää kolmansien osapuolten MCP-palvelimiin ja käyttää niiden työkaluja tutkintojen ja pelikirjojen aikana keskitetyn tunnistautumisen ja käyttöoikeuksien hallinnan puitteissa. Tietoturvatyönkulku voi näin ollen kutsua ulkoista, MCP-yhteensopivaa toimintoa niiden ohjelmointirajapintaintegraatioiden rinnalla, joita se jo käyttää.

MCP-palvelimena Turbine tarjoaa hallitusti ulkoisten tekoälyasiakkaiden käyttöön automaatiotoimintoja. Julkaisussa mainitaan esimerkkeinä Claude, ChatGPT, Cursor, Gemini CLI ja Microsoft Copilot. Ne voivat kutsua Turbinen komponentteja, kuten monivaiheisia pelikirjoja, olemassa olevien roolipohjaisten käyttöoikeuksien puitteissa.

Ero on merkittävä. Ensimmäisessä tapauksessa Swimlanen agentti ottaa yhteyden toiseen järjestelmään. Toisessa ulkoinen avustaja voi käynnistää hyväksytyn Turbine-työnkulun. Kun avustaja yhdistetään valmiiseen toimintokirjaan, yritys voi hyödyntää olemassa olevaa automaatiotaan ja käyttöoikeuksiaan sen sijaan, että se rakentaisi operatiivisen prosessin uudelleen jokaisessa tekoälyasiakasohjelmassa.

Swimlanen mukaan Turbine voi yhdistää MCP-työkalut perinteisiin ohjelmointirajapintoihin. Julkaisu on siksi merkityksellinen ympäristöissä, joissa vain osa järjestelmistä tukee MCP:tä: tiimit voivat sisällyttää protokollan laajempaan työnkulkuun ilman, että kaikkia nykyisiä integraatioita tarvitsee muuttaa kerralla.

Tietoturvasovellusten rakentaminen ihmisen tarkastuksella

Hero AI Application Builder Agent vastaa toisenlaiseen työmäärään: uuden tietoturvan käyttötapauksen edellyttämien tietorakenteiden, asettelujen ja työnkulkujen määrittämiseen. Käyttäjät kuvailevat tarpeensa luonnollisella kielellä, ja agentti luo tai muokkaa niitä vastaavan sovelluksen.

Julkaisutiedotteen mukaan luodut muutokset pysyvät tallentamattomina, kunnes ihminen tarkistaa ne. Muutokset korostetaan, ja käyttäjät voivat hyväksyä tai hylätä ne ennen niiden tallentamista. Hyväksyntävaihe on tärkeä, sillä sovelluksen rakenne voi vaikuttaa siihen, miten analyytikot keräävät todisteita, siirtävät tapauksia vaiheesta toiseen ja toteuttavat vastatoimia.

Uusi agentti laajentaa Hero AI:n laajempaa tuotevalikoimaa. Swimlanen tuoteaineistoissa kuvataan entuudestaan agentteja tiedon vastaanottamiseen, toimintokirjojen luomiseen, visualisointiin ja tutkintaan sekä mahdollisuutta valita malli kullekin agentille. Sovellusten rakentaminen laajentaa tätä avustamista näitä tehtäviä ympäröivään operatiiviseen työtilaan.

Tekoälyn päättelyn yhdistäminen ennakoitavaan automaatioon

Nämä lisäykset täydentävät Swimlane AI SOC:n työn reititysmallia, joka ohjaa työtä deterministisen automaation, tekoälyavusteisen tutkinnan ja täysin agenttisen tutkinnan välillä tarvittavan päättelyn mukaan. Valmiit toimintokirjat voivat hoitaa tutut vaiheet, kun taas monimutkaisemmissa tapauksissa voidaan hyödyntää agenttista tutkintaa ja ihmisen tekemää tarkastusta.

Tämä on tärkeä osa tuotteen suunnittelua: työnkulun ei tarvitse ohjata jokaista tehtävää mallin käsiteltäväksi. Tunnettu toimintaketju voi pysyä perinteisenä automaationa, kun taas agentti auttaa tulkitsemaan epätavallisia todisteita tai laatimaan tutkintasuunnitelman.

Asiakkaan määrittämä uhkien tunnistus tuo toimintamalliin mukaan aiemman päätöksen: mikä käynnistää prosessin ylipäätään? Organisaatiossaan tekoälyä laajasti käyttöön ottaville tietoturvatiimeille lokakuun julkaisu tarjoaa tavan yhdistää niiden oma käsitys hyväksyttävästä toiminnasta työkaluihin, jotka tutkivat ja reagoivat toiminnan poiketessa tästä käsityksestä.