Kontextkrisen i AI-erans åldern: Det kräver AI för att försvara mot AI

Säkerhetsoperationer är inte längre begränsade av mänsklig hastighet. Det överträffas av motståndare som opererar i maskinhastighet, utnyttjar sårbarheter ofta långt innan försvararna ens upptäcker den första signalen. Frontier AI-modeller som Claude Mythos har lett till en förändring på spelplanen, kan upptäcka sårbarheter som har överlevt decennier av mänsklig granskning och miljontals automatiserade tester. Mer viktigt är att dessa frontier AI-modeller kan kedja sårbarheter till komplexa, kritiska exploateringsvägar på sekunder.

Den moderna Security Operations Center (SOC) var inte utformad för denna hastighet. Under ett decennium har vi skalat telemetri, men analytiker drunknar i tusentals dagliga larm, desperat söker mening bland disparata ledtrådar. För att överleva AI-koordinerade attacker måste SOC utvecklas från en mänsklig centrerad nav till en maskinhastighets-, agentdriven operation.

Lyckande kräver en grundläggande förändring från synlighet till realtidskontext. Medan AI möjliggör för illvilliga aktörer att få djup nätverksåtkomst med utanför jämförelse doldhet, producerar det fortfarande observerbara artefakter som autentiseringshändelser, dataförflyttning och avvikande beteenden. Men för att agentbaserade försvarsoperationer ska kunna motverka maskinhastighetshot, måste organisationer besitta en kontextualiseringslager som omvandlar rå telemetri till strukturerad, maskinläsbar insikt. Utan det är AI-agenter blinda.

När företag antar AI-drivna säkerhetsverktyg, är det viktigt att komma ihåg att autonomi utan strukturerad kontext sannolikt kommer att introducera mer operativ risk. Agenter som är utformade för att övervaka och styra AI-system behöver mer än bara fristående automatisering – de behöver kontextuella kontrollager för att undvika hallucination eller kontextglid. Utan den grunden opererar AI-system reaktivt snarare än intelligent.

Synlighet utan förståelse

Unik baslinje för relationer, beteenden och beroenden, och ingen enda AI kan perfekt fungera inom varje organisation. En sann AI-baserad försvar är bara så effektiv som dess förmåga att förstå dessa nyckelkomponenter i hur en organisation fungerar.

Traditionella SOC är byggda på statiska inventeringar (periodbilder), isolerade larm som saknar historisk sekvens och mänskligt tempoarbetsflöden där analytiker är kopplingen mellan kontext och verktyg. Detta brist på förståelse eller mening trycker Mean Time to Detect (MTTD) in i timmar eller dagar, tidsramar som inte längre är acceptabla mot en maskinhastighetsattack.

När agenterbaserad AI flyttar från utforskning till operativ drift inom SOC, ser vi en förändring mot system som kan utföra säkerhetstyper snarare än bara stödja mänskliga analytiker. Denna förändring förändrar förväntningar kring vad SOC ska göra kontra vad som fortfarande kräver mänskligt engagemang.

Men när organisationer tävlar om att distribuera AI över SOC-operationer, gör många ledare en kritisk misstag, och det är att behandla AI som en ersättning för analytiker snarare än en accelerator byggd på kontext. Medan stora språkmodeller (LLM) kan sammanfatta larm, förbättra utredningar och rekommendera åtgärder, är utdata begränsade av kvaliteten på den information de tar emot.

Företagsmiljöer är inte statiska, och det är utmaningen. Tillgångar läggs till eller tas bort medan identiteter ändrar roller och behörigheter, och affärsprocesser utvecklas över tid. Säkerhetsteam har historiskt sett förlitat sig på mänskliga analytiker för att koppla ihop dessa rörliga delar under en utredning, men det tillvägagångssättet översätter inte till autonom drift. Maskinhastighetsförsvar kräver en grundläggande förståelse för hur system, användare, applikationer och data interagerar med varandra i realtid.

Kontext blir viktigare än en stödande funktion. Det är det kritiska operativsystemet för agenterbaserad säkerhet. Organisationer som lyckas med AI-integrering i SOC kommer inte nödvändigtvis att vara de med de mest avancerade AI-verktygen, utan de som kan ge dessa verktyg den mest kompletta bilden av miljön – backad av data. Allt annat i SOC beror på hur komplett och strukturerad den kontexten är i ögonblicket av upptäckt eller svar.

För att komma dit måste säkerhetsteam omvärdera hur de samlar in och operationaliserar data över SOC.

Fem skift mot beredskap

För att återfå fördelen, måste organisationer prioritera förmågan att snabbt tolka data över den enkla förmågan att samla in den.

1. Från tillgångslistor till en levande attackyta

De flesta organisationer förlitar sig på en statisk ögonblicksbild som inte kan hålla jämna steg med dynamiska förändringar. Den moderna attackytan, som omfattar efemära molnfunktioner, skugg-IT och AI-modellslutpunkter, kan ofta inte köra en traditionell EDR-agent, vilket lämnar blinda fläckar där kritisk säkerhetslogik nu bor. Du kan inte triage en flod av avslöjanden om du inte vet vad du kör eller vad det berör.

Att eliminera detta gap kräver realtidsynlighet i kontext. Detta tillåter SOC att upprätthålla en kontinuerligt uppdaterad tillgångsgraf som fångar inte bara vad som existerar, utan dess typiska aktivitet och webb av anslutningar.

2. Från larm till beteendeförståelse

Upptäckter är isolerade händelser, men riktiga attacker är mönster som måste erkännas under en period. Till exempel installerar en komprometterad AI-agent inte bara skadlig kod; den använder auktoriserad åtkomst på oauktoriserat sätt tills skadlig kod installeras. Att märka konstiga beteenden innan attackbeteenden larmas är nyckeln i detta avseende. Med beteendebaslinjer och förståelse kan säkerhetsanalytiker flytta bort från disparata händelser och korrelera aktivitet till en sammanhängande berättelse.

3. Från analytikerdriven till agentklar drift

Om ett SOC har fullt förtroende för människor för att sammanfoga kontext under en utredning, kommer de nästan alltid att förlora mot en AI-driven hot. Men autonoma agenter kräver förbyggd kontext, så när en triageagent plockar upp en signal, måste den mötas med en omedelbar, högkvalitativ doseringsakt – inte en rådatadump. Genom att implementera ett dedikerat berikningslager som korrelerar data över fyra lager av tillgång, identitet, beteende och hotrelevans, blir kontext en sann grund.

AI SOC-agenter är en nya förmågeklass utformad för att förstärka och automatisera kärn-SOC-arbetsflöden. Men deras effektivitet beror på om de distribueras i miljöer där kontext redan är strukturerad, korrelerad och underhållen.

4. Från rå telemetri till effektiv resonemang

Rå telemetri är massiv, bullrig och förbjudande dyrt att mata in i LLM. Att peka en LLM på ofiltrerade loggar leder till degraderat resonemang eller hallucinationer, lägger till mer gissningsarbete för den mänskliga analytikern och bromsar utredningar.

Att skifta till hög signal densitet, data som redan är berikad och korrelerad, löser detta. Redan sammanfattad telemetri, inklusive vem, vad och hur en upptäckt, och avvikelse från baslinjen, kan enkelt signalera om en omedelbar utredning är motiverad. Genom att fokusera på djup paketbevis endast när en specifik hypotes kräver det, gör agenterbaserad SOC-ekonomi faktiskt fungerar.

Effektiva AI-system i SOC kräver strukturerade kontroller över hela livscykeln, från insamling till svar. Detta beror på att kontext är vad som omvandlar signaler till handlingsbara resonemang.

5. Från en dimensionell data till flerskiktsbevis

Olika uppgifter kräver olika datatyper för att identifiera trender, relationer och avvikelser, inklusive mått, metadata, upptäckter och paket. En skiktad strategi för både lätta data för kontinuerligt resonemang och djupt bevis är avgörande för balans.

Frontier AI har inte bara introducerat nya hot; det har krävt en ny arkitektur för försvar. Säkerhet måste bli enad, anpassningsbar och viktigast, inkorporera agenterbaserade förmågor. Företagen som bygger kontextlager idag kommer att vara bättre rustade för att möta den nya standarden för säkerhet i AI-eran. De som förlitar sig på de gamla sätten att manuellt korrelera kommer att tvingas reagera på en värld som rör sig för fort för dem att se.

AI-drivna SOC-operationer kräver grundläggande nya styrnings- och driftsmodeller, som understryker att förmågan att producera högt kontextualiserad data (inte bara verktyg) kommer att avgöra vilka organisationer som kan skala mest säkert och effektivt. Utan det kommer automatiseringen att skala brus, inte den behövda intelligensen.