Swimlane เพิ่มระบบตรวจจับภัยคุกคามด้วย AI ที่กำหนดเองได้และรองรับ MCP แบบสองทางใน Turbine

นักวิเคราะห์ความปลอดภัยที่ใช้ AI สามารถตรวจสอบการแจ้งเตือนได้อย่างรวดเร็ว แต่ไม่อาจตรวจสอบคำเตือนที่ไม่เคยถูกสร้างขึ้นได้ Swimlane มุ่งแก้ปัญหาช่องว่างนี้ด้วยความสามารถใหม่ที่เปิดให้ลูกค้ากำหนดการตรวจจับเองได้ในแพลตฟอร์ม Turbine ช่วยให้ทีมรักษาความปลอดภัยนำตรรกะของตนเองไปใช้กับข้อมูลการปฏิบัติงาน และส่งการแจ้งเตือนที่ได้เข้าสู่ Swimlane AI SOC โดยตรง

รุ่นที่เปิดตัวเมื่อวันที่ 28 ตุลาคมยังเพิ่มการรองรับ Model Context Protocol (MCP) แบบสองทาง และเอเจนต์ Hero AI สำหรับสร้างแอปพลิเคชันด้วย โดยคุณสมบัติใหม่เหล่านี้ช่วยขยายแพลตฟอร์มระบบอัตโนมัติของบริษัทให้ครอบคลุมงานสามด้านที่เชื่อมโยงกัน ได้แก่ การตัดสินว่ากิจกรรมใดควรได้รับการตรวจสอบ การเชื่อมต่อเอเจนต์กับเครื่องมือ และการสร้างแอปพลิเคชันเพื่อรองรับเวิร์กโฟลว์ด้านความปลอดภัย

Swimlane ระบุว่าความสามารถเหล่านี้พร้อมใช้งานทั่วไปแล้ว ประกาศดังกล่าวนำเสนอความสามารถเหล่านี้ในฐานะส่วนเพิ่มเติมของโครงสร้างพื้นฐานด้านความปลอดภัยที่มีอยู่ ซึ่งรวมถึงระบบจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM) ระบบตรวจจับและตอบสนองที่อุปกรณ์ปลายทาง (EDR) และเครื่องมือรักษาความปลอดภัยบนคลาวด์

มอบอำนาจให้ทีมรักษาความปลอดภัยกำหนดสิ่งที่จะกลายเป็นการแจ้งเตือน

ผลิตภัณฑ์ AI SOC จำนวนมากมุ่งเน้นการคัดกรอง การตรวจสอบ และการตอบสนอง หลังจากระบบตรวจจับระบุพฤติกรรมที่น่าสงสัยแล้ว การแบ่งงานเช่นนี้ยิ่งทำได้ยากขึ้นเมื่อองค์กรนำเอเจนต์ใหม่ ผู้ช่วย AI โมเดลที่ทำงานในเครื่อง และเซิร์ฟเวอร์ MCP มาใช้งานเร็วกว่าที่ผลิตภัณฑ์ตรวจจับแบบเดิมจะรองรับได้

บริษัทอาจจำเป็นต้องตรวจสอบกรณีที่มีการส่งข้อมูลอ่อนไหวไปยังบริการ AI ที่ไม่ได้รับอนุญาต การใช้โมเดลที่ทำงานในเครื่องโดยไม่คาดคิด การปิดระบบป้องกัน หรือเอเจนต์ใช้ทรัพยากรเกินงบประมาณที่กำหนดไว้มาก เงื่อนไขบางประการเหล่านี้ขึ้นอยู่กับนโยบายและสภาพแวดล้อมของแต่ละองค์กรโดยเฉพาะ ไม่ใช่รูปแบบบ่งชี้สากลที่ผู้จำหน่ายจะกำหนดไว้ล่วงหน้าได้

ความสามารถใหม่ของ Turbine ช่วยให้ทีมเรียกใช้ตรรกะการตรวจจับของตนกับข้อมูลที่แพลตฟอร์มเข้าถึงได้ Swimlane ระบุว่าการดำเนินการกับข้อมูลขนาดใหญ่เพียงครั้งเดียวสามารถประเมินระเบียนหลายหมื่นรายการผ่านโหนดประมวลผลแบบขนาน แล้วส่งการแจ้งเตือนไปยัง AI SOC เพื่อให้ตรวจสอบและตอบสนองภายใต้การกำกับดูแล

สถาปัตยกรรมนี้ทำให้ตรรกะการตรวจจับอยู่ใกล้กับระบบอัตโนมัติที่ดำเนินการตามผลการตรวจจับมากขึ้น แทนที่จะแยกกันระบุเงื่อนไขและรวบรวมขั้นตอนถัดไปด้วยตนเอง ทีมสามารถเชื่อมโยงกฎเฉพาะขององค์กรเข้ากับเวิร์กโฟลว์การตรวจสอบที่มีอยู่ได้ อย่างไรก็ตาม ประสิทธิผลของการตรวจจับยังขึ้นอยู่กับว่ากิจกรรมที่เกี่ยวข้องปรากฏอยู่ในข้อมูลที่ Turbine เข้าถึงได้หรือไม่

“ตลอดสองปีที่ผ่านมา อุตสาหกรรมความปลอดภัยถกเถียงกันว่า AI จะจัดการการแจ้งเตือนได้อย่างอิสระแค่ไหน แต่คำถามนั้นข้ามประเด็นพื้นฐานกว่านั้นไป นั่นคือการแจ้งเตือนมาจากไหน” Cody Cornell ผู้ร่วมก่อตั้งและซีอีโอของ Swimlane กล่าว

ประกาศนี้ยังกล่าวถึงการสร้างกฎการตรวจจับโดยมี AI ช่วย ทีมสามารถอธิบายการตรวจจับที่ต้องการ แล้วใช้ความสามารถในการสร้างเพลย์บุ๊กของ Turbine เพื่อช่วยสร้างกฎดังกล่าว อย่างไรก็ตาม การสร้างตรรกะนั้นกับการทำให้มั่นใจว่าตรรกะสามารถระบุพฤติกรรมเป้าหมายได้อย่างน่าเชื่อถือเป็นคนละงานกัน กฎเฉพาะขององค์กรจำเป็นต้องสอดคล้องกับข้อมูล สิทธิ์การเข้าถึง และเงื่อนไขของสภาพแวดล้อมที่นำกฎไปใช้งาน

ตรวจสอบระบบ AI ในฐานะแหล่งที่อาจก่อให้เกิดเหตุการณ์

Swimlane เรียกสถานการณ์เหล่านี้ว่าการตรวจจับและตอบสนองต่อ AI หรือ AIDR ซึ่งหมายถึงระบบ AI เองกลายเป็นประเด็นของเหตุการณ์ แนวทางนี้แตกต่างจากการใช้โมเดล AI เพียงเพื่อสรุปการแจ้งเตือนฟิชชิงหรือการแจ้งเตือนจากอุปกรณ์ปลายทางแบบเดิม

การโจมตีด้วยการแทรกคำสั่งแสดงให้เห็นความแตกต่างนี้ เอเจนต์อาจพบคำสั่งที่ฝังอยู่ในเนื้อหาซึ่งกำลังประมวลผล ทำให้เกิดความเสี่ยงที่ข้อมูลจากภายนอกจะมีอิทธิพลต่อพฤติกรรมของเอเจนต์ การตรวจสอบที่มีประสิทธิภาพอาจต้องพิจารณาข้อมูลป้อนเข้าของเอเจนต์ กิจกรรมการใช้เครื่องมือ และการดำเนินการที่เกิดขึ้น แทนที่จะมองหาเพียงตัวบ่งชี้มัลแวร์ที่คุ้นเคย

ในทำนองเดียวกัน การใช้จ่ายที่พุ่งสูงขึ้นโดยไม่คาดคิดอาจบ่งชี้ว่าเอเจนต์ทำงานผิดพลาดหรือถูกชี้นำไปผิดทาง แม้จะไม่เหมือนการบุกรุกแบบดั้งเดิมก็ตาม ตรรกะที่ลูกค้ากำหนดเองช่วยให้ทีมระบุสิ่งที่ถือว่าผิดปกติสำหรับการใช้งานของตนได้ ตราบเท่าที่มีสัญญาณการใช้งานและการปฏิบัติงานที่จำเป็น

ขนาดการประมวลผลที่ประกาศไว้เป็นข้อมูลจำเพาะของบริษัท ไม่ใช่ผลการทดสอบเปรียบเทียบที่เผยแพร่ซึ่งยืนยันว่าระบบตรวจจับการโจมตีด้วยการแทรกคำสั่งหรือการใช้ AI โดยไม่ได้รับอนุญาตได้ทุกรูปแบบ การเปลี่ยนแปลงในทางปฏิบัติคือ ทีมมีอีกช่องทางหนึ่งในการเปลี่ยนข้อสังเกตของตนให้เป็นกรณีที่นำไปดำเนินการได้ ควบคู่ไปกับการแจ้งเตือนจากผลิตภัณฑ์รักษาความปลอดภัยที่มีอยู่

MCP เชื่อมต่อเอเจนต์กับระบบอัตโนมัติได้ทั้งสองทาง

MCP เป็นอินเทอร์เฟซมาตรฐานที่แอปพลิเคชัน AI ใช้เรียกเครื่องมือต่าง ๆ ได้ รุ่นเดือนตุลาคมของ Swimlane รองรับการเชื่อมต่อทั้งสองด้าน

ในฐานะโฮสต์ MCP Turbine ช่วยให้ Hero AI เชื่อมต่อกับเซิร์ฟเวอร์ MCP ของผู้ให้บริการภายนอกและใช้เครื่องมือของเซิร์ฟเวอร์เหล่านั้นระหว่างการตรวจสอบและการทำงานตามเพลย์บุ๊ก โดยมีการยืนยันตัวตนและการควบคุมสิทธิ์การเข้าถึงจากส่วนกลาง ดังนั้นเวิร์กโฟลว์ด้านความปลอดภัยจึงเรียกใช้ความสามารถภายนอกที่รองรับ MCP ควบคู่ไปกับการผสานรวม API ที่ใช้อยู่แล้วได้

ในฐานะเซิร์ฟเวอร์ MCP Turbine เปิดให้ไคลเอนต์ AI ภายนอกเรียกใช้ระบบอัตโนมัติภายใต้การกำกับดูแลได้ ประกาศระบุ Claude, ChatGPT, Cursor, Gemini CLI และ Microsoft Copilot เป็นตัวอย่างไคลเอนต์ที่เรียกใช้ส่วนประกอบของ Turbine ได้ รวมถึงเพลย์บุ๊กหลายขั้นตอน ภายใต้การควบคุมสิทธิ์การเข้าถึงตามบทบาทที่มีอยู่

ความแตกต่างนี้ส่งผลสำคัญ ในกรณีแรก เอเจนต์ของ Swimlane จะเชื่อมต่อกับระบบอื่น ส่วนกรณีที่สอง ผู้ช่วยภายนอกสามารถเริ่มเวิร์กโฟลว์ของ Turbine ที่ได้รับอนุมัติได้ การเชื่อมต่อผู้ช่วยเข้ากับเพลย์บุ๊กที่มีอยู่ช่วยให้องค์กรนำระบบอัตโนมัติและสิทธิ์การเข้าถึงที่ใช้อยู่แล้วกลับมาใช้ได้ แทนที่จะต้องสร้างกระบวนการปฏิบัติงานขึ้นใหม่ภายในไคลเอนต์ AI แต่ละตัว

Swimlane ระบุว่า Turbine สามารถใช้เครื่องมือ MCP ร่วมกับ API แบบเดิมได้ ทำให้ประกาศนี้เกี่ยวข้องกับสภาพแวดล้อมที่มีระบบรองรับ MCP เพียงบางส่วน ทีมต่าง ๆ จึงสามารถผนวกโปรโตคอลนี้เข้ากับเวิร์กโฟลว์ที่กว้างขึ้นได้ โดยไม่ต้องเปลี่ยนการเชื่อมต่อที่มีอยู่ทั้งหมดในคราวเดียว

สร้างแอปพลิเคชันด้านความปลอดภัยโดยมีมนุษย์ตรวจสอบ

Hero AI Application Builder Agent ช่วยจัดการงานอีกด้านหนึ่ง นั่นคือการกำหนดค่าโครงสร้างระเบียน รูปแบบการจัดวาง และเวิร์กโฟลว์ที่จำเป็นสำหรับกรณีการใช้งานด้านความปลอดภัยใหม่ ผู้ใช้บรรยายสิ่งที่ต้องการด้วยภาษาธรรมชาติ แล้วเอเจนต์จะสร้างหรือปรับเปลี่ยนแอปพลิเคชันที่เกี่ยวข้อง

ตามข้อมูลในประกาศ การเปลี่ยนแปลงที่สร้างขึ้นจะยังไม่ถูกบันทึกจนกว่าจะมีผู้ตรวจสอบ ระบบจะเน้นแสดงการเปลี่ยนแปลง และผู้ใช้สามารถยอมรับหรือปฏิเสธก่อนที่การเปลี่ยนแปลงเหล่านั้นจะมีผล ขั้นตอนการอนุมัตินี้มีความสำคัญ เพราะโครงสร้างของแอปพลิเคชันอาจส่งผลต่อวิธีที่นักวิเคราะห์บันทึกหลักฐาน ย้ายเคสระหว่างขั้นตอน และดำเนินการตอบสนอง

เอเจนต์ใหม่นี้ต่อยอดจากกลุ่มผลิตภัณฑ์ Hero AI ที่มีขอบเขตกว้างขึ้น เอกสารผลิตภัณฑ์ของ Swimlane กล่าวถึงเอเจนต์ที่มีอยู่แล้วสำหรับการนำเข้าข้อมูล การสร้างเพลย์บุ๊ก การแสดงผลข้อมูล และการสืบสวน ตลอดจนความสามารถในการเลือกรุ่นสำหรับเอเจนต์แต่ละตัว การสร้างแอปพลิเคชันช่วยขยายการสนับสนุนดังกล่าวไปยังพื้นที่ปฏิบัติงานที่รองรับงานเหล่านี้

ผสานการให้เหตุผลด้วย AI เข้ากับระบบอัตโนมัติที่คาดการณ์ได้

ส่วนเพิ่มเติมเหล่านี้จะทำงานร่วมกับโมเดลการกำหนดเส้นทางของ Swimlane AI SOC ซึ่งจัดสรรงานระหว่างระบบอัตโนมัติแบบกำหนดแน่นอน การสืบสวนที่มี AI ช่วย และการสืบสวนโดยเอเจนต์เต็มรูปแบบ ตามระดับการให้เหตุผลที่จำเป็น เพลย์บุ๊กที่มีอยู่สามารถจัดการขั้นตอนที่คุ้นเคยได้ ขณะที่กรณีที่ซับซ้อนยิ่งขึ้นสามารถใช้การสืบสวนโดยเอเจนต์และการตรวจสอบโดยมนุษย์

นี่เป็นส่วนสำคัญของแนวทางการออกแบบผลิตภัณฑ์ เพราะเวิร์กโฟลว์ไม่จำเป็นต้องส่งทุกงานผ่านโมเดล ลำดับการตอบสนองที่กำหนดไว้แล้วสามารถคงเป็นระบบอัตโนมัติแบบเดิมได้ ขณะที่เอเจนต์ช่วยตีความหลักฐานที่ไม่คุ้นเคยหรือวางแผนการสืบสวน

การตรวจจับที่ผู้ใช้กำหนดเองเพิ่มคำถามอีกข้อหนึ่งในช่วงต้นของรูปแบบการดำเนินงานนี้ นั่นคืออะไรควรเป็นตัวกระตุ้นให้เริ่มกระบวนการตั้งแต่แรก สำหรับทีมรักษาความปลอดภัยที่นำ AI มาใช้ทั่วทั้งองค์กร ประกาศในเดือนตุลาคมเปิดโอกาสให้เชื่อมโยงความรู้ของตนเองเกี่ยวกับพฤติกรรมที่ยอมรับได้เข้ากับเครื่องมือที่ใช้สืบสวนและตอบสนองเมื่อกิจกรรมอยู่นอกเกณฑ์ดังกล่าว