Swimlane lägger till anpassade AI-hotdetekteringar och dubbelriktat MCP-stöd i Turbine

En AI-säkerhetsanalytiker kan snabbt utreda ett larm, men kan inte utreda en varning som aldrig genererades. Swimlane vill åtgärda den bristen med nya kunddefinierade detekteringsfunktioner i plattformen Turbine. De gör det möjligt för säkerhetsteam att tillämpa sin egen logik på operativa data och skicka de larm som genereras direkt till Swimlane AI SOC.

I lanseringen den 28 oktober introduceras också dubbelriktat stöd för Model Context Protocol (MCP) och en agent för Hero AI Application Builder. Tillsammans utökar nyheterna företagets automationsplattform till att omfatta tre sammanlänkade uppgifter: att avgöra vilken aktivitet som bör utredas, att koppla samman agenter med verktyg och att bygga applikationer som stöder säkerhetsarbetsflöden.

Enligt Swimlane är funktionerna allmänt tillgängliga. I tillkännagivandet beskrivs de som tillägg till befintlig säkerhetsinfrastruktur, däribland verktyg för säkerhetsinformation och händelsehantering (SIEM), detektering och hantering av slutpunkter (EDR) samt molnsäkerhet.

Säkerhetsteam får kontroll över vad som blir ett larm

Många AI-baserade SOC-produkter fokuserar på triagering, utredning och respons efter att ett detekteringssystem har identifierat misstänkt beteende. Den ansvarsfördelningen blir svårare att upprätthålla när organisationer tar i bruk nya agenter, copiloter, lokala modeller och MCP-servrar snabbare än vad etablerade detekteringsprodukter kan hantera.

Ett företag kan behöva utreda att känslig information skickas till en obehörig AI-tjänst, oväntad användning av en lokal modell, en inaktiverad skyddsmekanism eller en agent som förbrukar långt mer resurser än den avsedda budgeten tillåter. Vissa av dessa förhållanden är specifika för organisationens policyer och miljö, snarare än universella kännetecken som en leverantör kan definiera på förhand.

De nya funktionerna i Turbine gör det möjligt för team att köra sin egen detekteringslogik mot data som plattformen har tillgång till. Enligt Swimlane kan en enda stor dataåtgärd utvärdera tiotusentals poster på parallella beräkningsnoder och sedan vidarebefordra ett larm till AI SOC för utredning och en styrd respons.

Den här arkitekturen för detekteringslogiken närmare den automation som agerar utifrån resultaten. I stället för att identifiera ett tillstånd separat och manuellt sätta ihop nästa steg kan ett team koppla sin organisationsspecifika regel till ett befintligt utredningsarbetsflöde. Hur användbar en detektering är beror fortfarande på om den relevanta aktiviteten finns representerad i de data som Turbine kan komma åt.

”Säkerhetsbranschen har ägnat de senaste två åren åt att diskutera hur självständigt AI kan hantera ett larm, men då hoppar man över en mer grundläggande fråga: varifrån kom larmet?”, säger Cody Cornell, Swimlanes medgrundare och vd.

I lanseringen beskrivs också AI-stödd utformning av detekteringar. Team kan beskriva vilken detektering de vill ha och använda Turbines funktioner för att skapa spelböcker som hjälp när den byggs upp. Att generera logiken och att fastställa att den tillförlitligt identifierar det avsedda beteendet är fortfarande två skilda uppgifter: organisationsspecifika regler måste återspegla data, behörigheter och förhållanden i den miljö där de körs.

Utredning av AI-system som möjliga källor till incidenter

Swimlane beskriver dessa scenarier som AI-detektering och -respons, eller AIDR: själva AI-systemet blir föremål för incidenten. Det skiljer sig från att bara använda en AI-modell för att sammanfatta ett konventionellt nätfiske- eller slutpunktslarm.

Promptinjektion visar skillnaden. En agent kan stöta på instruktioner inbäddade i innehåll som den behandlar, vilket skapar en risk för att material utifrån påverkar dess beteende. En användbar utredning kan behöva granska agentens indata, verktygsaktivitet och efterföljande åtgärder, i stället för att enbart leta efter ett välkänt skadeprogramskännetecken.

På liknande sätt kan en oväntad utgiftsökning tyda på att en agent inte fungerar som den ska eller har styrts fel, utan att det liknar ett traditionellt intrång. Kunddefinierad logik ger team möjlighet att uttrycka vad som är onormalt i deras egen driftsättning, förutsatt att nödvändiga användnings- och driftssignaler finns tillgängliga.

Den angivna bearbetningskapaciteten är en uppgift från företaget, inte ett publicerat riktmärke för att upptäcka alla former av promptinjektion eller obehörig AI-användning. Den praktiska förändringen är att team får ytterligare ett sätt att omvandla sina egna iakttagelser till ärenden som kan leda till åtgärder, vid sidan av larm från etablerade säkerhetsprodukter.

MCP kopplar samman agenter och automation i båda riktningarna

MCP tillhandahåller ett gemensamt gränssnitt som gör det möjligt för AI-applikationer att använda verktyg. Swimlanes lansering i oktober stöder båda sidorna av den kopplingen.

Som MCP-värd gör Turbine det möjligt för Hero AI att ansluta till MCP-servrar från tredje part och använda deras verktyg under utredningar och i spelböcker, med centraliserad autentisering och åtkomstkontroll. Ett säkerhetsarbetsflöde kan därmed anropa en extern MCP-kompatibel funktion vid sidan av de API-integrationer det redan använder.

Som MCP-server gör Turbine styrd automation tillgänglig för externa AI-klienter. I tillkännagivandet nämns Claude, ChatGPT, Cursor, Gemini CLI och Microsoft Copilot som exempel på klienter som kan anropa Turbine-komponenter, däribland spelböcker med flera steg, inom ramen för befintliga rollbaserade åtkomstkontroller.

Skillnaden är betydelsefull. I det första fallet kontaktar Swimlanes agent ett annat system. I det andra kan en extern assistent initiera ett godkänt arbetsflöde i Turbine. Genom att ansluta en assistent till en etablerad spelplan kan ett företag återanvända sin befintliga automatisering och sina behörigheter i stället för att återskapa den operativa processen i varje AI-klient.

Swimlane uppger att Turbine kan kombinera MCP-verktyg med traditionella API:er. Det gör lanseringen relevant i miljöer där bara vissa system har stöd för MCP: team kan införa protokollet i ett större arbetsflöde utan att behöva ändra alla befintliga integrationer på en gång.

Skapa säkerhetsapplikationer med mänsklig granskning

Hero AI Application Builder Agent hanterar en annan källa till arbetsbelastning: konfigurationen av de poststrukturer, layouter och arbetsflöden som behövs för ett nytt användningsfall inom säkerhet. Användarna beskriver sina behov på naturligt språk, och agenten skapar eller ändrar motsvarande applikation.

Enligt pressmeddelandet sparas genererade ändringar inte förrän en person har granskat dem. Ändringarna markeras, och användarna kan godkänna eller avvisa dem innan de sparas. Den här godkännandepunkten är viktig eftersom applikationens struktur kan påverka hur analytiker dokumenterar bevis, flyttar ärenden mellan olika steg och genomför en insats.

Den nya agenten bygger vidare på den bredare portföljen Hero AI. I Swimlanes produktmaterial beskrivs befintliga agenter för datainhämtning, generering av spelplaner, visualiseringar och utredning, liksom möjligheten att välja modeller för enskilda agenter. Applikationsbyggandet utvidgar stödet till den operativa arbetsmiljö som omger dessa uppgifter.

Kombinera AI-resonemang med förutsägbar automatisering

Tilläggen integreras i Swimlane AI SOC:s routningsmodell, som styr arbetet mellan deterministisk automatisering, AI-stödd utredning och helt agentbaserad utredning utifrån vilka resonemang som krävs. Befintliga spelplaner kan hantera välbekanta moment, medan mer komplexa ärenden kan dra nytta av agentbaserad utredning och mänsklig granskning.

Detta är en viktig del av produktens utformning: ett arbetsflöde behöver inte skicka varje uppgift genom en modell. En välkänd åtgärdssekvens kan fortsätta att hanteras med traditionell automatisering, medan en agent kan hjälpa till att tolka obekanta bevis eller ta fram en utredningsplan.

Kunddefinierad detektion innebär att ytterligare ett tidigare beslut läggs till i den operativa modellen: vad ska utlösa processen från början? För säkerhetsteam som inför AI i hela organisationen erbjuder oktobers lansering ett sätt att koppla deras egen kunskap om acceptabelt beteende till verktygen som utreder och agerar när aktiviteten avviker från det.