Swimlane adaugă funcții personalizate de detectare a amenințărilor bazate pe IA și suport MCP bidirecțional în Turbine

Un analist de securitate bazat pe IA poate investiga rapid o alertă, dar nu poate investiga un avertisment care nu a fost generat. Swimlane vizează această lacună prin noi funcții de detectare definite de clienți în platforma sa Turbine, permițând echipelor de securitate să aplice propria logică datelor operaționale și să trimită alertele rezultate direct în Swimlane AI SOC.

Lansarea din 28 octombrie introduce, de asemenea, suport bidirecțional pentru Model Context Protocol (MCP) și un agent Hero AI Application Builder. Împreună, aceste noutăți extind platforma de automatizare a companiei în trei domenii interconectate: stabilirea activităților care merită investigate, conectarea agenților la instrumente și crearea aplicațiilor care susțin fluxurile de lucru de securitate.

Swimlane afirmă că aceste funcții sunt disponibile în general. Anunțul le prezintă drept completări ale infrastructurii de securitate existente, inclusiv ale instrumentelor de gestionare a informațiilor și evenimentelor de securitate (SIEM), de detectare și răspuns la nivelul punctelor terminale (EDR) și de securitate în cloud.

Echipele de securitate decid ce devine alertă

Multe produse SOC bazate pe IA se concentrează pe triere, investigare și răspuns, după ce un sistem de detectare a identificat un comportament suspect. Această diviziune devine mai greu de menținut atunci când organizațiile implementează agenți noi, copiloți, modele locale și servere MCP mai repede decât le pot integra produsele de detectare consacrate.

O companie ar putea avea nevoie să investigheze transmiterea unor informații sensibile către un serviciu de IA neautorizat, utilizarea neașteptată a unui model local, dezactivarea unei măsuri de protecție sau consumul de resurse de către un agent cu mult peste bugetul alocat. Unele dintre aceste situații depind de politicile și mediul organizației, nefiind semnături universale pe care un furnizor le poate defini dinainte.

Noile funcții Turbine permit echipelor să aplice propria logică de detectare datelor disponibile pe platformă. Potrivit Swimlane, o singură operațiune de procesare a volumelor mari de date poate evalua zeci de mii de înregistrări pe noduri de calcul paralele, apoi poate direcționa o alertă către AI SOC pentru investigare și răspuns controlat.

Această arhitectură apropie logica de detectare de automatizarea care acționează pe baza rezultatelor sale. În loc să identifice separat o situație și să alcătuiască manual pașii următori, o echipă își poate conecta regula specifică organizației la un flux de investigare existent. Utilitatea oricărei detectări depinde în continuare de măsura în care activitatea relevantă este reprezentată în datele la care Turbine are acces.

„În ultimii doi ani, industria securității a dezbătut cât de autonom poate gestiona IA o alertă, dar astfel se omite o întrebare mai fundamentală: de unde a venit alerta?”, a declarat Cody Cornell, cofondator și director general al Swimlane.

Lansarea descrie și crearea asistată de IA a regulilor de detectare. Echipele pot explica ce doresc să detecteze și pot folosi funcțiile Turbine de generare a ghidurilor de acțiune pentru a le crea. Generarea logicii și verificarea faptului că aceasta identifică în mod fiabil comportamentul vizat sunt sarcini distincte: regulile specifice organizației trebuie să reflecte datele, permisiunile și condițiile mediului în care sunt aplicate.

Investigarea sistemelor de IA ca posibile surse ale incidentelor

Swimlane descrie aceste scenarii drept detectare și răspuns în domeniul IA, sau AIDR: sistemul de IA însuși devine subiectul incidentului. Acest lucru diferă de simpla utilizare a unui model de IA pentru a rezuma o alertă convențională de phishing sau de la un punct terminal.

Injectarea de instrucțiuni ilustrează această distincție. Un agent poate întâlni instrucțiuni încorporate în conținutul pe care îl procesează, ceea ce creează riscul ca materialul extern să-i influențeze comportamentul. O investigare utilă poate necesita examinarea intrărilor agentului, a activității instrumentelor și a acțiunilor rezultate, nu doar căutarea unui indicator de malware cunoscut.

În mod similar, o creștere neașteptată a cheltuielilor ar putea indica o defecțiune sau o orientare greșită a unui agent, fără să semene cu o intruziune tradițională. Logica definită de clienți le oferă echipelor o modalitate de a specifica ce este anormal în propria implementare, cu condiția să fie disponibile semnalele necesare privind utilizarea și operațiunile.

Scara de procesare anunțată este o specificație a companiei, nu un reper de performanță publicat pentru detectarea tuturor formelor de injectare de instrucțiuni sau de utilizare neautorizată a IA. Schimbarea practică constă în faptul că echipele dobândesc o modalitate suplimentară de a transforma propriile observații în cazuri care necesită acțiune, pe lângă alertele furnizate de produsele de securitate consacrate.

MCP conectează agenții și automatizarea în ambele sensuri

MCP oferă o interfață comună prin care aplicațiile de IA pot utiliza instrumente. Lansarea din octombrie a Swimlane acceptă ambele sensuri ale acestei conexiuni.

În rolul de gazdă MCP, Turbine îi permite Hero AI să se conecteze la servere MCP terțe și să le folosească instrumentele în timpul investigațiilor și al executării ghidurilor de acțiune, cu autentificare și controale de acces centralizate. Astfel, un flux de lucru de securitate poate apela o funcție externă compatibilă cu MCP, alături de integrările API pe care le utilizează deja.

În rolul de server MCP, Turbine pune automatizarea controlată la dispoziția clienților IA externi. Anunțul menționează Claude, ChatGPT, Cursor, Gemini CLI și Microsoft Copilot ca exemple de clienți care pot invoca componente Turbine, inclusiv ghiduri de acțiune cu mai mulți pași, în cadrul controalelor de acces existente, bazate pe roluri.

Această distincție are consecințe importante. În primul caz, agentul Swimlane contactează un alt sistem. În al doilea, un asistent extern poate iniția un flux de lucru Turbine aprobat. Conectarea unui asistent la un playbook existent permite unei companii să-și reutilizeze automatizările și permisiunile existente, în loc să recreeze procesul operațional în fiecare client AI.

Swimlane afirmă că Turbine poate combina instrumente MCP cu API-uri convenționale. Astfel, lansarea este relevantă pentru mediile în care doar unele sisteme acceptă MCP: echipele pot integra protocolul într-un flux de lucru mai amplu, fără să fie nevoie să modifice simultan toate integrările existente.

Crearea de aplicații de securitate cu verificare umană

Agentul Hero AI de creare a aplicațiilor răspunde unei alte surse de muncă: configurarea structurilor de înregistrări, a aspectelor și a fluxurilor de lucru necesare pentru un nou caz de utilizare în domeniul securității. Utilizatorii descriu în limbaj natural de ce au nevoie, iar agentul creează sau modifică aplicația corespunzătoare.

Potrivit comunicatului, modificările generate nu sunt salvate până când nu sunt verificate de o persoană. Modificările sunt evidențiate, iar utilizatorii le pot accepta sau respinge înainte ca acestea să fie aplicate. Acest pas de aprobare este important, deoarece structura unei aplicații poate influența modul în care analiștii colectează dovezi, mută cazurile între etape și desfășoară o intervenție.

Noul agent se bazează pe portofoliul mai amplu Hero AI. Materialele Swimlane despre produse descriu agenți existenți pentru ingerarea datelor, generarea de playbook-uri, vizualizări și investigații, precum și posibilitatea de a selecta modele pentru agenți individuali. Crearea de aplicații extinde acest sprijin la spațiul de lucru operațional aferent acestor sarcini.

Combinarea raționamentului AI cu automatizarea previzibilă

Aceste îmbunătățiri sunt integrate în modelul de rutare al Swimlane AI SOC, care direcționează activitățile către automatizare deterministă, investigație asistată de AI sau investigație complet autonomă, în funcție de raționamentul necesar. Playbook-urile existente pot gestiona pașii obișnuiți, în timp ce cazurile mai complexe pot beneficia de investigații autonome și de verificare umană.

Acesta este un aspect important al concepției produsului: un flux de lucru nu trebuie să trimită fiecare sarcină printr-un model. O succesiune de răspunsuri bine-cunoscută poate rămâne o automatizare convențională, în timp ce un agent ajută la interpretarea unor dovezi neobișnuite sau la elaborarea unui plan de investigație.

Detectarea definită de client adaugă o decizie anterioară în acest model operațional: ce ar trebui să declanșeze procesul de la bun început? Pentru echipele de securitate care adoptă AI în întreaga organizație, lansarea din octombrie oferă o modalitate de a-și conecta propriile cunoștințe despre comportamentul acceptabil cu instrumentele care investighează și răspund atunci când activitatea se abate de la acesta.