Criza contextului în era Inteligenței Artificiale de frontieră: necesită Inteligență Artificială pentru a se apăra împotriva Inteligenței Artificiale

Operațiunile de securitate nu mai sunt limitate de viteza umană. Ele sunt depășite de adversari care operează la viteza mașinilor, exploatând vulnerabilități adesea mult înainte ca apărătorii să detecteze primul semnal. Modelele de Inteligență Artificială de frontieră, cum ar fi Claude Mythos, au condus la o schimbare a terenului de joc, putând descoperi vulnerabilități care au supraviețuit decenii de revizuire umană și milioane de teste automate. Mai important, aceste modele de Inteligență Artificială de frontieră pot crea lanțuri de vulnerabilități în exploatați complexe și critice în doar câteva secunde.

Centrul modern de operațiuni de securitate (SOC) nu a fost proiectat pentru această viteză. De un deceniu, am scalat telemetria, dar analiștii se înecă în mii de alerte zilnice, căutând disperați să găsească sensul printre indicii disparate. Pentru a supraviețui atacurilor orchestrate de Inteligență Artificială, SOC trebuie să evolueze de la un centru uman la o operațiune condusă de agenți și cu viteză de mașină.

Reușita necesită o schimbare fundamentală de la vizibilitate la context în timp real. În timp ce Inteligența Artificială permite actorilor răi să obțină acces profund în rețea cu o stealth fără precedent, ea produce totuși artefacte observabile, cum ar fi evenimente de autentificare, mișcări de date și comportamente anormale. Cu toate acestea, pentru ca operațiunile de apărare agentică să contracareze amenințările cu viteză de mașină, organizațiile trebuie să posede un strat de contextualizare care transformă telemetria brută în insight structurat și citibil de mașină. Fără aceasta, agenții Inteligenței Artificiale sunt orbi.

Pe măsură ce întreprinderile adoptă unelte de securitate conduse de Inteligență Artificială, este important să reținem că autonomia fără context structurat va introduce, probabil, mai mult risc operațional. Agenții proiectați pentru a supraveghea și guverna sistemele de Inteligență Artificială însele necesită mai mult decât simpla automatizare – necesită straturi de control contextual pentru a evita halucinația sau deriva de context. Fără această bază, sistemele de Inteligență Artificială operează reactiv, nu inteligent.

Vizibilitate fără înțelegere

O bază de relații, comportamente și dependențe și niciun singur sistem de Inteligență Artificială nu poate funcționa perfect în orice organizație. O apărare cu adevărat puternică bazată pe Inteligență Artificială este la fel de eficientă ca și capacitatea sa de a înțelege aceste componente cheie ale modului în care funcționează o organizație.

SOC-urile tradiționale se bazează pe inventare statice (instantanee periodice), alerte izolate care lipsesc de secvență istorică și fluxuri de lucru cu viteză umană, unde analistul este legătura dintre context și unelte. Lipsa de înțelegere sau sens împinge timpul mediu de detectare (MTTD) în ore sau zile, perioade de timp care nu mai sunt acceptabile împotriva unui atac cu viteză de mașină.

Pe măsură ce Inteligența Artificială agentică trece de la explorare la implementare operațională în SOC, observăm o schimbare către sisteme capabile să execute sarcini de securitate și nu doar să sprijine analiștii umani. Această schimbare modifică așteptările în jurul a ceea ce ar trebui să facă SOC-ul și ce încă necesită implicare umană.

Dar pe măsură ce organizațiile se grăbesc să implementeze Inteligența Artificială în operațiunile SOC, mulți lideri fac o greșeală critică, și anume tratarea Inteligenței Artificiale ca înlocuitor pentru analiști, în loc de a o folosi ca accelerator bazat pe context. În timp ce modelele de limbaj mare (LLM) pot rezuma alerte, îmbunătăți investigațiile și recomanda acțiuni, fără o înțelegere precisă a mediului în care operează, ieșirile sunt limitate de calitatea informațiilor pe care le primesc.

Mediile enterprise nu sunt statice, și acesta este provocarea. Activele sunt adăugate sau eliminate în mod constant, în timp ce identitățile schimbă roluri și permisiuni, iar procesele de afaceri evoluează în timp. Echipele de securitate s-au bazat istoric pe analiști umani pentru a conecta aceste părți mobile în timpul unei investigații, dar această abordare nu se traduce în operațiuni autonome. Apărările cu viteză de mașină necesită o înțelegere fundamentală a modului în care sistemele, utilizatorii, aplicațiile și datele interacționează între ele în timp real.

Contextul devine mai important decât o capacitate de susținere. Este sistemul de operare critic pentru securitatea agentică. Organizațiile care reușesc să integreze Inteligența Artificială în SOC nu vor fi neapărat cele cu uneltele de Inteligență Artificială cele mai avansate, ci cele care pot oferi uneltele respective cu imaginea cea mai completă a mediului – susținută de date. Totul în SOC depinde de cât de complet și structurat este contextul în momentul detectării sau răspunsului.

Pentru a ajunge acolo, echipele de securitate trebuie să reevalueze modul în care colectează și operationalizează datele în întreg SOC.

Cinci schimbări către pregătire

Pentru a recâștiga avantajul, organizațiile trebuie să prioritizeze capacitatea de a interpreta rapid datele înainte de a le colecta.

1. De la liste de active la o suprafață de atac vie

Majoritatea organizațiilor se bazează pe o imagine statică care nu poate ține pasul cu schimbările dinamice. Suprafața de atac modernă, care cuprinde funcții cloud efemere, IT umbrit și puncte de capăt ale modelului de Inteligență Artificială, nu poate rula un agent EDR tradițional, lăsând puncte oarbe unde trăiește logica de securitate critică. Nu puteți tria o inundație de divulgări dacă nu știți ce rulați sau la ce se conectează.

Eliminarea acestei lacune necesită vizibilitate în timp real setată în context. Acest lucru permite SOC-ului să mențină un grafic de active actualizat în mod continuu, care captează nu doar ceea ce există, ci și activitatea sa tipică și rețeaua de conexiuni.

2. De la alerte la înțelegere comportamentală

Detectările sunt evenimente izolate, dar atacurile reale sunt modele care trebuie recunoscute de-a lungul timpului. De exemplu, un agent de Inteligență Artificială compromis nu doar instalează malware; folosește accesul autorizat în moduri neautorizate până când malware-ul este instalat. Observarea comportamentelor ciudate înainte de comportamentele de atac este cheia în acest sens. Cu linii de bază comportamentale și înțelegeri, analiștii de securitate pot trece de la evenimente disparate și corela activitatea într-o narativă coerentă.

3. De la operațiuni conduse de analiști la operațiuni pregătite pentru agenți

Dacă un SOC se bazează în totalitate pe oameni pentru a asambla contextul în timpul unei investigații, va pierde aproape întotdeauna împotriva unei amenințări puternice a Inteligenței Artificiale. Cu toate acestea, agenții autonomi necesită context preconstruit, astfel încât atunci când un agent de triaj detectează un semnal, trebuie să fie întâmpinat de un dosar de înaltă fidelitate – nu de o descărcare de date brută. Prin implementarea unui strat de îmbogățire dedicat care corelează datele de-a lungul a patru straturi de active, identitate, comportament și relevanță a amenințării, contextul devine o bază adevărată.

Agenții SOC de Inteligență Artificială sunt o clasă emergentă de capacități proiectate pentru a sprijini și automatiza fluxurile de lucru principale ale SOC. Dar eficiența lor depinde de faptul dacă sunt implementate în medii în care contextul este deja structurat, corelat și menținut.

4. De la telemetrie brută la raționament eficient

Telemetria brută este masivă, zgomotoasă și prohibitiv de scumpă pentru a fi alimentată în LLM. Direcționarea unui LLM către jurnale nefiltrate duce la raționament degradat sau halucinații, adăugând mai multă muncă de ghicit pentru analistul uman și încetinind investigațiile.

Trecerea la o densitate de semnal ridicată, date care sunt deja îmbogățite și corelate, rezolvă această problemă. Telemetria rezumată, inclusiv cine, ce și cum a fost detectat, și deviația de la linia de bază, poate semnala ușor dacă o investigație imediată este justificată. Prin concentrarea asupra dovezilor de pachet profund doar atunci când o ipoteză specifică o cere, face ca economia SOC agentică să funcționeze cu adevărat.

Sistemele eficiente de Inteligență Artificială în SOC necesită controale structurate de-a lungul întregului ciclu de viață, de la ingestie la răspuns. Acest lucru se datorează faptului că contextul este ceea ce transformă semnalele în raționament acționabil.

5. De la date unidimensionale la dovezi multistratificate

Diferite sarcini necesită tipuri de date diferite pentru a identifica tendințe, relații și anomalii, incluzând metrici, metadate, detectări și pachete. O strategie în trepte, atât pentru date ușoare pentru raționament continuu, cât și pentru dovezi profunde, este esențială pentru echilibru.

Inteligența Artificială de frontieră nu a introdus doar amenințări noi; a impus o arhitectură nouă de apărare. Securitatea trebuie să devină unificată, adaptivă și, cel mai important, să incorporeze capacități agențice. Întreprinderile care construiesc straturi de context astăzi vor fi mai bine pregătite să întâmpine noul standard de siguranță în era Inteligenței Artificiale. Cei care se bazează pe metodele vechi de corelare manuală vor fi forțați să reacționeze la o lume care se mișcă prea repede pentru a o vedea.

Operațiunile de securitate conduse de Inteligență Artificială necesită modele de guvernanță și operațional fundamentale noi, subliniind faptul că capacitatea de a produce date contextualizate înalt (nu doar unelte) va determina care organizații pot scala cel mai sigur și eficient. Fără aceasta, automatizarea va scala doar zgomotul, nu inteligența necesară.