Kindo lança o Deep Hat Sift para reduzir execuções desnecessárias de agentes de IA

Um agente de IA que lê todos os alertas de segurança ou registros incorre em custos, mesmo quando conclui que não é necessário fazer nada. Em volumes corporativos, essas investigações sem ocorrências podem se tornar, por si só, uma carga de trabalho substancial. Kindo lançou o Deep Hat Sift, um modelo projetado para decidir quais eventos recebidos justificam a execução de um agente antes que o modelo maior comece a processá-los.

Anunciado em 28 de outubro, o Sift aprende com os pareceres do agente a que atende e, em seguida, filtra os eventos que esse agente descartaria. O produto começa observando, em vez de reter eventos: todos ainda chegam ao agente até que uma pessoa analise o comportamento de filtragem proposto e aprove um limite.

Essa abordagem introduz um mecanismo de controle de custos diferente da escolha de um modelo de linguagem mais barato. Em vez de reduzir o custo de cada investigação, o Sift busca evitar as investigações que provavelmente não exigirão nenhuma ação. Sua eficácia depende tanto da qualidade dessas decisões quanto dos controles aplicados ao que é ignorado.

Um modelo de decisão antes do modelo de linguagem

A Kindo descreve o Deep Hat Sift como um modelo de decisão do Sistema 1: um modelo rápido e barato que responde a uma pergunta de seleção, em vez de gerar uma resposta. Cada modelo é atribuído a uma fonte específica, a um agente-alvo e a uma tarefa de filtragem, de modo que seu aprendizado reflita a carga de trabalho a que se destina.

Essa especificidade é importante. Um evento relevante para uma investigação de segurança pode ser irrelevante para um fluxo de trabalho de atendimento de TI. O Sift aprende quais eventos o agente-alvo descarta, usando os pareceres fornecidos pelo agente como sinal de treinamento. Segundo a Kindo, isso evita um projeto separado de rotulagem humana para cada fluxo.

A implantação inicial funciona em modo sombra. O Sift atribui pontuações aos eventos recebidos enquanto o agente continua a analisar todos eles, permitindo que o sistema compare suas previsões com as decisões do agente. Antes do início da filtragem, os operadores recebem uma prévia do que teria sido retido com base nos próprios dados.

Em seguida, uma pessoa precisa aprovar um limite e apresentar uma justificativa por escrito. Assim, a decisão sobre o comportamento de filtragem aceitável fica a cargo da equipe responsável pelo fluxo de trabalho, em vez de a ativação ser tratada como consequência automática da instalação do modelo.

Amostragem e controles de abertura em caso de falha ajudam a lidar com o que pode passar despercebido

A filtragem cria um problema difícil de medir: se um evento nunca chega ao agente, como a equipe sabe se deveria ter chegado? O Sift continua enviando uma amostra aleatória dos eventos que, de outra forma, reteria, permitindo que os pareceres do agente sobre essa amostra contribuam para a medição contínua da taxa de eventos não detectados.

A página do produto deixa explícito o parâmetro de referência: a revocação e a taxa de eventos não detectados são medidas em relação aos pareceres do agente. Essas métricas indicam o quanto o Sift reproduz as decisões desse agente. Por si só, elas não demonstram se o próprio agente identifica corretamente todos os incidentes de segurança ou problemas operacionais.

Segundo a Kindo, se a qualidade se deteriorar, o Sift adota uma postura de falha aberta e volta a encaminhar os eventos para análise do agente, em vez de continuar a suprimi-los. A empresa também descreve limites de atividade que podem fazer o sistema retornar ao modo sombra durante um pico. Os eventos filtrados e as decisões de aprovação são registrados para que as equipes possam analisar o que foi retido e por quê.

“Ele não filtra nada até que uma pessoa aprove o limite e, se a qualidade se deteriorar, adota uma postura de falha aberta e encaminha tudo para avaliação por um modelo de linguagem de grande porte”, afirmou Troy Presley, engenheiro do Deep Hat Sift na Kindo, no anúncio.

Esses mecanismos tornam evidente a contrapartida, em vez de eliminá-la. Uma filtragem mais conservadora pode preservar a cobertura, mas economizar menos execuções. Uma filtragem mais agressiva pode evitar mais trabalho, mas aumenta a importância da amostragem, da detecção de deterioração e da qualidade do agente subsequente.

Projetado para alertas, chamados e fluxos contínuos de registros

O lançamento tem como alvo cargas de trabalho com alto volume de entrada e baixa proporção de eventos que exigem ação. A Kindo cita alertas de SIEM e de detecção de endpoints, filas de chamados, denúncias de phishing, registros de sistemas e redes e fluxos de plataformas como o Kafka. Entre as fontes de monitoramento estão Splunk, Datadog e New Relic.

O Sift fica à frente do agente, em vez de substituir esses sistemas de origem. Uma plataforma de segurança continua gerando detecções, um sistema de chamados continua mantendo sua fila e o agente continua responsável pelos casos que chegam até ele. A nova camada decide quais eventos dão início a esse trabalho adicional de IA.

O mesmo padrão poderia ser aplicado a fluxos de trabalho de finanças e conformidade que analisam transações ou políticas. Nesse caso, também, selecionar eventos para análise é diferente de emitir uma determinação sobre fraude ou conformidade. O agente-alvo e o processo de negócios ao redor continuam sendo partes importantes do resultado.

Como o Sift se integra à plataforma de gerenciamento de agentes da Kindo

A plataforma mais ampla da Kindo conecta agentes a sistemas corporativos de segurança, infraestrutura e operações de TI. Ela combina execução com contexto, permissões e supervisão operacional, oferecendo às equipes um local para gerenciar o trabalho depois que um modelo é selecionado.

O site da empresa descreve a atribuição de agentes, as políticas de acesso e a atribuição de custos por agente, responsável e equipe. O Sift acrescenta um controle em uma etapa anterior desse fluxo: decidir se um evento deve ou não acionar a execução de um agente. Isso conecta uma decisão técnica de filtragem à questão operacional de quais cargas de trabalho estão gerando custos de inferência.

De acordo com o anúncio de lançamento, o Deep Hat Sift já está disponível para instalação local, em nuvem autogerenciada, na nuvem da Kindo e em ambientes isolados de redes. A pontuação é calculada onde a Kindo está instalada, enquanto as chamadas aos modelos são gerenciadas pela plataforma. O produto funciona com os agentes da Kindo.

A economia dependerá do fluxo

A Kindo não divulgou uma porcentagem geral de economia nem um índice de precisão universal para o Sift. Em vez disso, a página do produto orienta as equipes a visualizar quais eventos seriam retidos usando seus próprios dados. Essa distinção é útil para os compradores: o resultado econômico depende do volume de eventos, do custo de cada execução evitada, da proporção de eventos acionáveis e do limite operacional aceito pela equipe.

Em fluxos com muito ruído, evitar execuções desnecessárias de agentes pode tornar mais acessível a análise contínua por IA. Em fluxos nos quais deixar passar um evento tem consequências graves, os controles de amostragem e escalonamento são tão importantes quanto os custos de inferência. O Deep Hat Sift incorpora essas decisões ao fluxo de trabalho dos agentes, deslocando a questão central de qual modelo deve tratar um evento para se esse modelo precisa mesmo tratá-lo.