Cyware lanceert Last Mile AI Agents om gedeelde dreigingsinformatie om te zetten in dagelijkse prioriteiten

Een waarschuwing over een dreiging kan binnen enkele seconden een klein nutsbedrijf bereiken. Bepalen of die relevant is — en wat ermee moet gebeuren — kan veel langer duren. Cyware wil die kloof overbruggen met Last Mile Agents, een nieuwe reeks AI-agenten die gedeelde cyberdreigingsinformatie omzet in dagelijkse prioriteiten voor kleinere organisaties.

De agenten, die op 22 oktober zijn aangekondigd, zijn bedoeld voor leden van netwerken voor het delen van dreigingsinformatie. Die ontvangen waarschuwingen van gemeenschaps- of regionale knooppunten, maar hebben geen gespecialiseerd team voor dreigingsinformatie. In plaats van elke ontvanger dezelfde leeslijst te geven, beoordelen de agenten volgens Cyware binnenkomende informatie aan de hand van de sector, technologie en operationele omgeving van elke organisatie.

De eerste versie omvat Vulnerability Watch en Threat Briefing, beide ondersteund door een agent voor vereisten op het gebied van prioritaire inlichtingen. De directe opbrengst is advies op basis van prioriteiten; geautomatiseerde uitvoering maakt deel uit van Cywares plannen voor verdere ontwikkeling.

Gedeelde waarschuwingen omzetten in lokale prioriteiten

Netwerken voor het delen van dreigingsinformatie helpen organisaties informatie over kwetsbaarheden, aanvallers en opkomende campagnes te bundelen. Hun waarde hangt echter af van wat er gebeurt nadat een waarschuwing binnenkomt. Een grote onderneming heeft mogelijk analisten die deze informatie met haar systemen kunnen vergelijken. Een klein bedrijf of coöperatief nutsbedrijf is misschien afhankelijk van één beveiligingsgeneralist die ook de dagelijkse IT-werkzaamheden beheert.

Cyware scheidt het werk van het inlichtingenknooppunt van dat van de leden. Het knooppunt beheert het Cyware-platform en stelt de inlichtingen samen. Aangesloten lidorganisaties gebruiken Last Mile Agents die zijn afgestemd op hun prioriteiten, zonder zelf het platform te hoeven implementeren, aldus de aankondiging.

Dat onderscheid is belangrijk voor de acceptatie. Het doel is om een bestaande samenwerkingsrelatie nuttiger te maken voor de ontvangende partij, in plaats van van elke kleine organisatie te verlangen dat zij een volwaardige organisatie voor dreigingsinformatie opzet.

‘Collectieve verdediging is slechts zo sterk als de zwakste schakel aan het eind van de keten, en zo maken we die sterk’, zei Akshat Jain, CTO en medeoprichter van Cyware, in de aankondiging. Hij zei dat de agenten beginnen met vereisten op het gebied van prioritaire inlichtingen om vast te leggen wat relevant is voor de omgeving van elke organisatie en die context toe te passen op binnenkomende waarschuwingen en kwetsbaarheden.

Drie agenten, met de organisatiecontext als uitgangspunt

De agent voor vereisten op het gebied van prioritaire inlichtingen, oftewel de PIR-agent, vormt de basis. Deze legt vast wat belangrijk is voor een lidorganisatie en toetst binnenkomende inlichtingen voortdurend aan die vereisten. In de praktijk moet dit het systeem een werkbare definitie van relevantie geven voordat het een dreiging rangschikt.

• PIR-agent: Stelt de prioriteiten van het lid op het gebied van inlichtingen vast en gebruikt die om binnenkomende waarschuwingen en informatie over kwetsbaarheden te beoordelen.
• Vulnerability Watch-agent: Stelt dagelijks een prioriteitenlijst op met de categorieën ‘actie ondernemen’, ‘aandacht besteden aan’ en ‘volgen’. Daarbij weegt de agent de exploitatieactiviteit en de ernst af tegen de omgeving van het lid.
• Threat Briefing-agent: Stelt dagelijks een gerangschikte briefing op waarin wordt uitgelegd welke ontwikkelingen aandacht verdienen en waarom ze relevant zijn voor dat lid.

Het onderscheid tussen ernst en relevantie staat centraal in het ontwerp. Een ernstige kwetsbaarheid is niet voor elke ontvanger van een waarschuwing even urgent. Een organisatie moet weten of de getroffen technologie deel uitmaakt van haar omgeving, of er misbruik van wordt gemaakt en hoe het probleem zich verhoudt tot andere eisen die aan haar tijd worden gesteld.

Hoe Last Mile Agents passen binnen de technologie van Cyware

Met de lancering breidt de bestaande portfolio van AI-agenten van Cyware zich uit van analisten bij inlichtingenknooppunten naar andere gebruikers. De bredere Agent Hub brengt agenten samen binnen de beveiligingsproducten van het bedrijf en beschrijft mogelijkheden voor instelbare autonomie, menselijk toezicht, autorisatie en auditregistratie. Deze platformmogelijkheden bieden context bij Cywares strategie; de nieuwe release richt zich specifiek op prioritering en briefings voor leden.

Aan de basis van die strategie ligt de uitdaging om uiteenlopende dreigingsinformatie bruikbaar te maken. Cyware Intel Exchange ondersteunt het verzamelen, ontdubbelen, verrijken en normaliseren van gegevens naar STIX 2.1, een gestructureerd formaat voor het uitwisselen van dreigingsinformatie. Het platform legt ook verbanden tussen indicatoren, malware, campagnes en dreigingsactoren, en brengt het gedrag van tegenstanders in kaart volgens MITRE ATT&CK. Deze mogelijkheden helpen de rol van het knooppunt te verduidelijken: het ordent inlichtingen voordat lidorganisaties die vanuit hun eigen prioriteiten interpreteren.

Het afzonderlijke product Cyware Orchestrate verbindt beveiligingsworkflows via API’s, webhooks en vooraf gebouwde integraties. Het bevat AI-ondersteuning voor het maken en oplossen van problemen met draaiboeken. Dat maakt deel uit van Cywares bredere aanbod op het gebied van automatisering, maar moet niet worden verward met de reikwijdte van de lancering van Last Mile Agents: Cyware heeft geautomatiseerde uitvoering voor deze nieuwe agenten op de roadmap gezet.

De proef is of advies het dagelijkse werk verandert

Voor kleinere beveiligingsteams moet een bruikbare AI-briefing meer doen dan een lang adviesbericht samenvatten in een korte alinea. De briefing moet duidelijk maken waarom de informatie relevant is, uitleggen hoe de rangschikking tot stand is gekomen en het makkelijker maken om de volgende beslissing te nemen. De kwaliteit van de eisen die de organisatie heeft vastgelegd — en hoe goed die blijven aansluiten op haar veranderende omgeving — zal daarom van belang zijn voor de praktische waarde van de agents.

In de aankondiging van Cyware staan geen prestatiebenchmarks, prijzen of gemeten resultaten bij klanten voor Last Mile Agents. De eerste belofte is concreter en beperkter: leden met beperkte middelen dagelijks laten zien wat het belangrijkst is, op basis van de informatie die hun netwerken al verspreiden.

Vulnerability Watch en Threat Briefing zijn de eerste beschikbare agents, aangedreven door de PIR Agent. Cyware biedt ook een webinar over zijn AI-agents aan. De bredere kans is om collectieve verdediging ook nuttig te maken voor organisaties die niet al genoeg analisten hebben om de informatie te interpreteren.