Swimlane adiciona detecções personalizadas de ameaças com IA e suporte bidirecional a MCP no Turbine

Um analista de segurança com IA pode investigar um alerta rapidamente, mas não pode investigar um aviso que nunca foi gerado. Swimlane busca preencher essa lacuna com novos recursos de detecção definidos pelos clientes em sua plataforma Turbine, permitindo que as equipes de segurança apliquem sua própria lógica aos dados operacionais e enviem os alertas resultantes diretamente para o Swimlane AI SOC.

A versão de 28 de outubro também apresenta suporte bidirecional ao Protocolo de Contexto de Modelo (MCP) e um agente Hero AI Application Builder. Em conjunto, essas novidades ampliam a plataforma de automação da empresa para abranger três tarefas interligadas: determinar quais atividades merecem investigação, conectar agentes a ferramentas e criar os aplicativos que dão suporte a um fluxo de trabalho de segurança.

Segundo a Swimlane, os recursos estão disponíveis em geral. O anúncio os apresenta como complementos à infraestrutura de segurança existente, incluindo ferramentas de gerenciamento de informações e eventos de segurança (SIEM), detecção e resposta em endpoints (EDR) e segurança na nuvem.

Dando às equipes de segurança controle sobre o que se transforma em alerta

Muitos produtos de SOC com IA se concentram na triagem, investigação e resposta depois que um sistema de detecção identifica um comportamento suspeito. Essa divisão se torna mais difícil de manter quando as organizações implantam novos agentes, copilotos, modelos locais e servidores MCP mais rapidamente do que os produtos de detecção tradicionais conseguem acompanhá-los.

Uma empresa pode precisar investigar o envio de informações confidenciais a um serviço de IA não autorizado, o uso inesperado de um modelo local, uma proteção desativada ou um agente que consome recursos muito além do orçamento previsto. Algumas dessas situações dependem das políticas e do ambiente específicos da organização, em vez de corresponderem a uma assinatura universal que um fornecedor possa definir antecipadamente.

Os novos recursos do Turbine permitem que as equipes executem sua própria lógica de detecção sobre os dados disponíveis na plataforma. Segundo a Swimlane, uma única operação de big data pode avaliar dezenas de milhares de registros em nós de computação paralelos e, em seguida, encaminhar um alerta ao AI SOC para investigação e resposta controlada.

Essa arquitetura aproxima a lógica de detecção da automação que age com base nos resultados. Em vez de identificar uma situação separadamente e montar manualmente as etapas seguintes, uma equipe pode conectar sua regra específica da organização a um fluxo de trabalho de investigação já existente. A eficácia de qualquer detecção ainda depende de a atividade relevante estar representada nos dados aos quais o Turbine tem acesso.

“Nos últimos dois anos, o setor de segurança debateu quanto trabalho com alertas pode ser feito de forma autônoma pela IA, mas isso deixa de lado uma questão mais básica: de onde veio o alerta?”, afirmou Cody Cornell, cofundador e CEO da Swimlane.

A versão também descreve a criação de detecções com auxílio de IA. As equipes podem explicar a detecção que desejam e usar os recursos de geração de playbooks do Turbine para ajudar a criá-la. Gerar essa lógica e comprovar que ela identifica de forma confiável o comportamento pretendido são tarefas distintas: as regras específicas de cada organização precisam refletir os dados, as permissões e as condições do ambiente em que serão executadas.

Investigando sistemas de IA como possíveis fontes de incidentes

A Swimlane descreve esses cenários como detecção e resposta de IA, ou AIDR: o próprio sistema de IA se torna o foco do incidente. Isso é diferente de simplesmente usar um modelo de IA para resumir um alerta convencional de phishing ou de endpoint.

A injeção de prompt ilustra essa diferença. Um agente pode encontrar instruções incorporadas ao conteúdo que está processando, criando o risco de que material externo influencie seu comportamento. Uma investigação eficaz pode precisar examinar as entradas do agente, sua atividade com ferramentas e as ações resultantes, em vez de procurar apenas um indicador conhecido de malware.

Da mesma forma, um aumento inesperado nos gastos pode indicar um agente com defeito ou desviado de sua finalidade, sem se parecer com uma intrusão tradicional. A lógica definida pelo cliente permite que as equipes expressem o que é anormal em sua própria implantação, desde que os sinais necessários de uso e operação estejam disponíveis.

A escala de processamento anunciada é uma especificação da empresa, não um benchmark publicado para detectar todas as formas de injeção de prompt ou uso não autorizado de IA. Na prática, a mudança oferece às equipes outra maneira de transformar suas próprias observações em casos acionáveis, além dos alertas fornecidos por produtos de segurança já estabelecidos.

O MCP conecta agentes e automação nos dois sentidos

O MCP oferece uma interface comum por meio da qual aplicativos de IA podem usar ferramentas. A versão de outubro da Swimlane oferece suporte aos dois lados dessa conexão.

Como host MCP, o Turbine permite que o Hero AI se conecte a servidores MCP de terceiros e use suas ferramentas durante investigações e playbooks, com autenticação e controles de acesso centralizados. Assim, um fluxo de trabalho de segurança pode acionar um recurso externo compatível com MCP junto às integrações de API que já utiliza.

Como servidor MCP, o Turbine disponibiliza automações controladas a clientes externos de IA. O anúncio cita Claude, ChatGPT, Cursor, Gemini CLI e Microsoft Copilot como exemplos de clientes que podem invocar componentes do Turbine, incluindo playbooks com várias etapas, dentro dos controles de acesso baseados em funções já existentes.

Essa distinção tem consequências importantes. Na primeira direção, o agente do Swimlane se conecta a outro sistema. Na segunda, um assistente externo pode iniciar um fluxo de trabalho aprovado do Turbine. Conectar um assistente a um roteiro de procedimentos já estabelecido permite que uma empresa reutilize a automação e as permissões existentes, em vez de recriar o processo operacional em cada cliente de IA.

A Swimlane afirma que o Turbine pode combinar ferramentas MCP com APIs convencionais. Isso torna o lançamento relevante para ambientes em que apenas alguns sistemas são compatíveis com MCP: as equipes podem incorporar o protocolo a um fluxo de trabalho mais amplo sem precisar alterar todas as integrações existentes de uma só vez.

Desenvolvimento de aplicativos de segurança com revisão humana

O agente criador de aplicativos Hero AI atende a outra fonte de trabalho: configurar as estruturas de registros, os layouts e os fluxos de trabalho necessários para um novo caso de uso de segurança. Os usuários descrevem em linguagem natural o que precisam, e o agente cria ou modifica o aplicativo correspondente.

De acordo com o comunicado, as alterações geradas permanecem sem ser salvas até que uma pessoa as revise. As alterações são destacadas, e os usuários podem aceitá-las ou rejeitá-las antes que sejam efetivadas. Essa etapa de aprovação é importante porque a estrutura de um aplicativo pode afetar a forma como os analistas registram evidências, transferem casos entre etapas e executam uma resposta.

O novo agente amplia o portfólio mais abrangente da Hero AI. Os materiais de produto da Swimlane descrevem agentes já existentes para ingestão de dados, geração de roteiros de resposta, visualizações e investigação, além da possibilidade de selecionar modelos para agentes individuais. A criação de aplicativos estende essa assistência ao espaço de trabalho operacional usado nessas tarefas.

Combinação de raciocínio de IA com automação previsível

As novidades se integram ao modelo de encaminhamento do Swimlane AI SOC, que direciona o trabalho entre a automação determinística, a investigação assistida por IA e a investigação totalmente conduzida por agentes, de acordo com o nível de raciocínio necessário. Os roteiros de resposta existentes podem lidar com etapas conhecidas, enquanto casos mais complexos podem recorrer à investigação conduzida por agentes e à revisão humana.

Este é um aspecto importante do design do produto: um fluxo de trabalho não precisa encaminhar todas as tarefas a um modelo. Uma sequência de resposta conhecida pode continuar sendo uma automação convencional, enquanto um agente ajuda a interpretar evidências desconhecidas ou a elaborar um plano de investigação.

A detecção definida pelo cliente acrescenta uma decisão anterior a esse modelo operacional: o que deve acionar o processo desde o início? Para as equipes de segurança que adotam IA em toda a organização, o lançamento de outubro oferece uma maneira de conectar o conhecimento que elas próprias têm sobre comportamentos aceitáveis às ferramentas que investigam e respondem quando a atividade foge desses limites.