Swimlane legger til tilpassede AI-trusseldeteksjoner og støtte for toveis MCP i Turbine

En sikkerhetsanalytiker som bruker AI, kan undersøke et varsel raskt, men kan ikke undersøke et varsel som aldri ble generert. Swimlane retter seg mot dette gapet med nye funksjoner for kundedefinerte deteksjoner i Turbine-plattformen. Dermed kan sikkerhetsteam bruke sin egen logikk på driftsdata og sende varslene som genereres, direkte til Swimlane AI SOC.

Lanseringen 28. oktober introduserer også støtte for toveis Model Context Protocol (MCP) og en Hero AI-agent for applikasjonsbygging. Samlet utvider disse nyhetene selskapets automatiseringsplattform til å omfatte tre sammenhengende oppgaver: å avgjøre hvilken aktivitet som bør undersøkes, å koble agenter til verktøy og å bygge applikasjonene som støtter en sikkerhetsarbeidsflyt.

Swimlane opplyser at funksjonene er allment tilgjengelige. Kunngjøringen presenterer dem som tillegg til eksisterende sikkerhetsinfrastruktur, blant annet sikkerhetsinformasjon og hendelseshåndtering (SIEM), endepunktdeteksjon og -respons (EDR) og verktøy for skysikkerhet.

Sikkerhetsteam får kontroll over hva som utløser et varsel

Mange AI-SOC-produkter konsentrerer seg om prioritering, undersøkelse og respons etter at et deteksjonssystem har identifisert mistenkelig atferd. Denne arbeidsdelingen blir mer utfordrende når organisasjoner tar i bruk nye agenter, assistenter, lokale modeller og MCP-servere raskere enn etablerte deteksjonsprodukter klarer å håndtere dem.

Et selskap kan ha behov for å undersøke sensitiv informasjon som er sendt til en uautorisert AI-tjeneste, uventet bruk av en lokal modell, en deaktivert sikkerhetsmekanisme eller en agent som bruker langt mer ressurser enn det tiltenkte budsjettet. Noen av disse forholdene er spesifikke for organisasjonens retningslinjer og miljø, og ikke universelle kjennetegn som en leverandør kan fastsette på forhånd.

De nye funksjonene i Turbine gjør det mulig for team å kjøre sin egen deteksjonslogikk mot data som er tilgjengelige for plattformen. Swimlane opplyser at én enkelt stordataoperasjon kan evaluere titusenvis av dataposter på tvers av parallelle databehandlingsnoder og deretter sende et varsel til AI SOC for undersøkelse og styrt respons.

Denne arkitekturen bringer deteksjonslogikken nærmere automatiseringen som handler på grunnlag av resultatene. I stedet for å identifisere et forhold separat og sette sammen de neste trinnene manuelt, kan et team koble en organisasjonsspesifikk regel til en eksisterende undersøkelsesarbeidsflyt. Hvor nyttig en deteksjon er, avhenger fortsatt av om den relevante aktiviteten finnes i dataene Turbine har tilgang til.

«Sikkerhetsbransjen har brukt de siste to årene på å diskutere hvor autonomt AI kan håndtere et varsel, men da hopper man over et mer grunnleggende spørsmål: Hvor kom varselet fra?» sa Cody Cornell, medgrunnlegger og administrerende direktør i Swimlane.

Lanseringen beskriver også AI-assistert utforming av deteksjonsregler. Team kan forklare hvilken deteksjon de ønsker, og bruke Turbines funksjoner for generering av arbeidsplaner som hjelp til å bygge den. Å generere denne logikken og å fastslå at den pålitelig identifiserer den ønskede atferden, er fortsatt to separate oppgaver: Organisasjonsspesifikke regler må gjenspeile dataene, tillatelsene og forholdene i miljøet der de kjøres.

Undersøkelse av AI-systemer som mulige kilder til hendelser

Swimlane omtaler disse scenarioene som AI-deteksjon og -respons, eller AIDR: Selve AI-systemet blir gjenstand for hendelsen. Dette er noe annet enn å bruke en AI-modell til å oppsummere et vanlig varsel om nettfisking eller et endepunktvarsel.

Prompt-injeksjon illustrerer forskjellen. En agent kan støte på instruksjoner som er innebygd i innhold den behandler, noe som skaper en risiko for at eksternt materiale påvirker atferden dens. En nyttig undersøkelse kan måtte se på agentens inndata, verktøyaktivitet og handlingene som følger, i stedet for bare å lete etter et velkjent skadevaresignal.

På samme måte kan en uventet økning i pengebruk tyde på at en agent ikke fungerer som den skal eller er rettet feil, uten at det ligner et tradisjonelt innbrudd. Kundedefinert logikk gir team mulighet til å beskrive hva som er unormalt i deres egen utrulling, forutsatt at nødvendige signaler om bruk og drift er tilgjengelige.

Behandlingskapasiteten som er oppgitt, er en spesifikasjon fra selskapet, ikke en publisert referanseverdi for deteksjon av alle former for prompt-injeksjon eller uautorisert AI-bruk. Den praktiske endringen er at team får en ekstra måte å gjøre egne observasjoner om til saker som kan følges opp, i tillegg til varsler fra etablerte sikkerhetsprodukter.

MCP kobler agenter og automatisering i begge retninger

MCP tilbyr et felles grensesnitt som gjør det mulig for AI-applikasjoner å bruke verktøy. Swimlanes oktoberlansering støtter begge sider av denne forbindelsen.

Som MCP-vert lar Turbine Hero AI koble seg til tredjeparts MCP-servere og bruke verktøyene deres under undersøkelser og i arbeidsplaner, med sentralisert autentisering og tilgangskontroll. En sikkerhetsarbeidsflyt kan dermed bruke en ekstern MCP-kompatibel funksjon sammen med API-integrasjonene den allerede benytter.

Som MCP-server gjør Turbine styrt automatisering tilgjengelig for eksterne AI-klienter. Kunngjøringen nevner Claude, ChatGPT, Cursor, Gemini CLI og Microsoft Copilot som eksempler på klienter som kan kalle opp Turbine-komponenter, blant annet arbeidsplaner med flere trinn, innenfor eksisterende rollebaserte tilgangskontroller.

Dette skillet har praktiske konsekvenser. I den første retningen kontakter Swimlanes agent et annet system. I den andre kan en ekstern assistent starte en godkjent arbeidsflyt i Turbine. Når en assistent kobles til en etablert responsplan, kan virksomheten gjenbruke eksisterende automatisering og tilgangsrettigheter i stedet for å gjenskape den operative prosessen i hver enkelt AI-klient.

Swimlane sier at Turbine kan kombinere MCP-verktøy med konvensjonelle API-er. Dermed er lanseringen relevant for miljøer der bare noen systemer støtter MCP: Team kan innlemme protokollen i en større arbeidsflyt uten å måtte endre alle eksisterende integrasjoner samtidig.

Bygge sikkerhetsapplikasjoner med menneskelig gjennomgang

Hero AI Application Builder Agent tar for seg en annen kilde til arbeidsoppgaver: konfigurering av datastrukturer, oppsett og arbeidsflyter som et nytt sikkerhetsbruksområde krever. Brukerne beskriver behovene sine på naturlig språk, og agenten oppretter eller endrer den tilhørende applikasjonen.

Ifølge kunngjøringen forblir genererte endringer ulagret til en person har gjennomgått dem. Endringene fremheves, og brukerne kan godta eller avvise dem før de lagres. Dette godkjenningspunktet er viktig fordi applikasjonens struktur kan påvirke hvordan analytikere dokumenterer bevis, flytter saker mellom stadier og iverksetter tiltak.

Den nye agenten bygger videre på den bredere porteføljen av Hero AI-produkter. I Swimlanes produktmateriell beskrives eksisterende agenter for datainnhenting, generering av responsplaner, visualiseringer og etterforskning, samt muligheten til å velge modeller for individuelle agenter. Applikasjonsbygging utvider denne støtten til det operative arbeidsområdet rundt disse oppgavene.

Kombinere AI-resonnering med forutsigbar automatisering

Tilleggene inngår i rutingsmodellen til Swimlane AI SOC, som fordeler arbeidet mellom deterministisk automatisering, AI-assistert etterforskning og fullt agentbasert etterforskning, avhengig av hvilken type resonnering som kreves. Eksisterende responsplaner kan håndtere kjente trinn, mens mer komplekse saker kan dra nytte av agentbasert etterforskning og menneskelig gjennomgang.

Dette er et viktig aspekt ved produktutformingen: En arbeidsflyt trenger ikke å sende hver oppgave gjennom en modell. En kjent responssekvens kan fortsatt håndteres med konvensjonell automatisering, mens en agent hjelper til med å tolke ukjente bevis eller utarbeide en etterforskningsplan.

Kundedefinert deteksjon føyer til en tidligere beslutning i denne arbeidsmodellen: Hva skal utløse prosessen i utgangspunktet? For sikkerhetsteam som tar i bruk AI i hele organisasjonen, gir oktoberlanseringen en måte å koble egen kunnskap om akseptabel atferd til verktøyene som undersøker og reagerer når aktivitet avviker fra den.