Kontekstkrise i Frontier AI-æraen: Det tar AI å forsvare mot AI

Sikkerhetsoperasjoner er ikke lenger begrenset av menneskelig hastighet. Det blir forbigått av motstandere som opererer med maskinhastighet, og utnytter svakheter ofte lenge før forsvarerne får den første signalen. Frontier AI-modeller som Claude Mythos har ført til en endring i spillfeltet, og kan oppdage svakheter som har overlevd tiår med menneskelig gjennomgang og millioner av automatiserte tester. Mer viktig er at disse frontier AI-modellene kan kombinere svakheter til komplekse, kritiske utnyttelsesveier på sekunder.

Det moderne sikkerhetsoperasjonssenteret (SOC) var ikke designet for denne hastigheten. I over et tiår har vi skalert opp telemetri, men analytikerne drukner i tusenvis av daglige varsler, og søker desperat etter mening blant ulike ledetråder. For å overleve AI-koordinerte angrep, må SOC utvikle seg fra et menneske-sentrert nav til et maskin-hastighet, agent-drevet operasjon.

Suksess krever en grunnleggende endring fra synlighet til sanntids-kontekst. Mens AI muliggjør at angripere får dyp nettverksadgang med utenkelig stealth, produserer det likevel observerbare artefakter som autentiseringshendelser, dataflytting og avvikende atferd. Men for at agent-basert forsvar skal kunne motstå maskin-hastighetstrusler, må organisasjonene ha en kontekstualiseringslag som transformerer rå telemetri til strukturert, maskinlesbar innsikt. Uten det er AI-agenter blinde.

Da bedrifter adopterer AI-drevne sikkerhetstverktøy, er det viktig å huske at autonomi uten strukturert kontekst sannsynligvis vil introdusere mer operasjonell risiko. Agenter som er designet for å overvåke og styre AI-systemer selv, trenger mer enn bare standalone-automatisering – de trenger kontekstuell kontroll for å unngå hallucinasjon eller kontekst-drift. Uten den grunnleggende fundamentet, opererer AI-systemer reaktivt fremfor intelligently.

Synlighet uten forståelse

Unik basis for relasjoner, atferd og avhengigheter, og ingen enkelt AI kan perfekt fungere innen hver organisasjon. En sant AI-drevet forsvar er bare like effektiv som dens evne til å forstå disse nøkkelkomponentene i hvordan en organisasjon fungerer.

Tradisjonelle SOC-er er bygget på statiske lager (periode-snapshot), isolerte varsler som mangler historisk sekvens, og menneske-påvirkede arbeidsflyter hvor analytikerne er koblingen mellom kontekst og verktøy. Dette manglet forståelse eller mening fører til at Gjennomsnittlig tid til å oppdage (MTTD) går inn i timer eller dager, tidsrammer som ikke lenger er akseptable mot en maskin-hastighetangrep.

Da agent-basert AI flytter fra utforsking til operasjonell utrulling innen SOC, ser vi en endring mot systemer som kan utføre sikkerhetstasker fremfor bare å støtte menneskelige analytikere. Denne endringen endrer forventningene rundt hva SOC skal gjøre versus hva som fortsatt krever menneskelig involvering.

Men da organisasjonene kappler for å deployere AI over SOC-operasjoner, gjør mange ledere en kritisk feil, og det er å behandle AI som en erstatning for analytikere fremfor en akselerator bygget på kontekst. Mens store språkmodeller (LLM) kan sammenfatte varsler, forbedre etterforskninger og anbefale handlinger, er utdata begrenset av kvaliteten på informasjonen de mottar.

Bedriftsmiljøer er ikke statiske, og det er utfordringen. Aktiver blir konstant lagt til eller fjernet, mens identiteter endrer roller og tillatelser, og forretningsprosesser utvikler seg over tid. Sikkerhetsteam har historisk sett avhengig av menneskelige analytikere for å koble disse flytende delene under en etterforskning, men denne tilnærmingen oversetter ikke til autonome operasjoner. Maskin-hastighet forsvar krever en grunnleggende forståelse av hvordan systemer, brukere, applikasjoner og data samhandler med hverandre i sanntid.

Kontekst blir viktigere enn en støttende funksjon. Det er det kritiske operasjonssystemet for agent-basert sikkerhet. Organisasjonene som lykkes med AI-integrasjon i SOC, vil ikke nødvendigvis være de med de mest avanserte AI-verktøyene, men de som kan gi disse verktøyene den mest komplette bildet av miljøet – støttet av data. Alt annet i SOC avhenger av hvor komplett og strukturert denne konteksten er i øyeblikket for oppdaging eller respons.

For å komme dit, må sikkerhetsteamene omdefinere hvordan de samler inn og operationaliserer data over SOC.

Fem skift mot beredskap

For å gjenvinne fordelen, må organisasjonene prioritere evnen til å tolke data raskt over evnen til å samle inn det.

1. Fra aktivitetslister til en levende angrepsflate

De fleste organisasjonene avhenger av en statisk snapshot som ikke kan holde tritt med dynamiske endringer. Den moderne angrepsflaten, som omfatter efemere sky-funksjoner, skygge-IT og AI-modellendepunkter, kan ofte ikke kjøre en tradisjonell EDR-agent, og etterlater blinde flekker hvor kritisk sikkerhetslogikk nå bor. Du kan ikke prioritere en flom av varsler hvis du ikke vet hva du kjører eller hva det berører.

Å eliminere denne gapet krever sanntids synlighet satt i kontekst. Dette tillater SOC å vedlikeholde en kontinuerlig oppdatert aktivitetsgraf som fanger ikke bare hva som eksisterer, men også dens typiske aktivitet og nettverk av forbindelser.

2. Fra varsler til atferdsforståelse

Oppdagelser er isolerte hendelser, men sanntidsangrep er mønster som må erkjennes over en periode. For eksempel installerer en kompromittert AI-agent ikke bare malware; den bruker autorisert tilgang på uautorisert måte til malware er installert. Å merke uvanlige atferd før angrepsatferd er varslet, er nøkkelher. Med atferdsbaseliner og forståelse, kan sikkerhetsanalytikere flytte vekk fra ulike hendelser og korrelere aktivitet til en samlet fortelling.

3. Fra analytiker-drevne til agent-klare operasjoner

Hvis et SOC har fullt avhengighet av mennesker for å samle kontekst under en etterforskning, vil de nesten alltid tape mot en AI-drevet trussel. Men autonome agenter krever forhåndsbygget kontekst, så når en triage-agent plukker opp et signal, må det møtes med en umiddelbar, høy-fidel dossier – ikke en rå data-dump. Ved å implementere en dedikert berikingslag som korrelerer data over fire lag av aktivitet, identitet, atferd og trussel-relevans, blir kontekst en sant grunnleggende.

AI SOC-agenter er en emergent kapabilitetsklasse designet for å augmentere og automatisere kjerne-SOC-arbeidsflyter. Men deres effektivitet avhenger av om de er deployert i miljøer hvor kontekst allerede er strukturert, korrelerer og vedlikeholdt.

4. Fra rå telemetri til effektiv resonnering

Rå telemetri er massiv, støyende og prohibitivt dyrt å mata inn i LLM. Å peke en LLM på ufiltret logger, fører til degradert resonnering eller hallucinasjoner, og legger til mer gjettarbeid til den menneskelige analytikeren og bremser ned etterforskninger.

Å skifte til høy signal-tetthet, data som allerede er beriket og korrelerer, løser dette. Allerede sammenfattet telemetri, inkludert hvem, hva og hvordan en oppdaging, og avvik fra baselinen, kan lett signalisere om en umiddelbar etterforskning er berettiget. Ved å fokusere på dypt pakke-bevis bare når en spesifikk hypotese krever det, gjør agentic SOC-økonomi faktisk fungerer.

Effektive AI-systemer i SOC krever strukturerte kontroller over hele livssyklusen, fra inntak til respons. Dette er fordi kontekst er hva konverterer signaler til handlingbar resonnering.

5. Fra en-dimensjonal data til fler-lags-bevis

Forskjellige oppgaver krever forskjellige data-typer for å identifisere trender, relasjoner og avvik, inkludert metrikker, metadata, oppdagelser og pakker. En trinnvis strategi for både lettvekt-data for kontinuerlig resonnering og dyp bevis, er essensiell for balanse.

Frontier AI har ikke bare introdusert nye trusler; det har påtvunget en ny arkitektur for forsvar. Sikkerhet må bli forent, adaptiv og viktigst, inkorporere agent-kapabiliteter. Bedriftene som bygger kontekstlag i dag, vil være bedre forberedt til å møte den nye standarden for sikkerhet i AI-æraen. De som avhenger av de gamle måtene på manuell korrelasjon, vil bli tvunget til å reagere på en verden som beveger seg for raskt for dem å se.

AI-drevne SOC-operasjoner krever grunnleggende nye styrings- og operasjonsmodeller, og understreker at evnen til å produsere høyt kontekstualisert data (ikke bare verktøy alene) vil bestemme hvilke organisasjoner som kan skalerer mest sikker og effektivt. Uten det, vil automatisering bare skalerer støy, ikke den nødvendige intelligensen.