Swimlane додає до Turbine спеціальні засоби виявлення загроз за допомогою ШІ та двосторонню підтримку MCP

Аналітик із безпеки на основі ШІ може швидко розслідувати сповіщення, але не може розслідувати попередження, яке так і не було створене. Swimlane прагне усунути цю прогалину за допомогою нових можливостей створення користувацьких правил виявлення на платформі Turbine. Вони дають командам із безпеки змогу застосовувати власну логіку до операційних даних і надсилати отримані сповіщення безпосередньо до Swimlane AI SOC.

У випуску від 28 жовтня також представлено двосторонню підтримку Model Context Protocol (MCP) і агента Hero AI Application Builder. Разом ці нововведення розширюють можливості платформи автоматизації компанії, охоплюючи три пов’язані завдання: визначення активності, що потребує розслідування, підключення агентів до інструментів і створення застосунків для підтримки робочих процесів із безпеки.

За словами Swimlane, ці можливості вже загальнодоступні. В анонсі їх представлено як доповнення до наявної інфраструктури безпеки, зокрема систем керування інформацією та подіями безпеки (SIEM), засобів виявлення загроз на кінцевих пристроях і реагування на них (EDR), а також хмарних інструментів безпеки.

Команди з безпеки самі визначають, що стає сповіщенням

Багато продуктів AI SOC зосереджуються на сортуванні, розслідуванні та реагуванні після того, як система виявлення виявила підозрілу поведінку. Такий розподіл завдань ускладнює роботу, коли організації впроваджують нових агентів, помічників, локальні моделі та сервери MCP швидше, ніж наявні засоби виявлення встигають пристосуватися до них.

Компанії може знадобитися розслідувати передавання конфіденційної інформації неавторизованому сервісу ШІ, неочікуване використання локальної моделі, вимкнення захисного механізму або споживання агентом ресурсів, що значно перевищує передбачений бюджет. Деякі з таких ситуацій залежать від політик і середовища конкретної організації, а не є універсальними ознаками, які постачальник може визначити заздалегідь.

Нові можливості Turbine дають командам змогу застосовувати власну логіку виявлення до даних, доступних платформі. За словами Swimlane, одна дія з обробки великих обсягів даних може оцінити десятки тисяч записів на паралельних обчислювальних вузлах, а потім передати сповіщення до AI SOC для розслідування та реагування з належним контролем.

Така архітектура наближає логіку виявлення до автоматизації, яка діє на основі її результатів. Замість того щоб окремо виявляти певну ситуацію, а потім вручну формувати подальші кроки, команда може пов’язати правило, специфічне для її організації, з наявним робочим процесом розслідування. Водночас ефективність будь-якого виявлення залежить від того, чи відображено відповідну активність у даних, до яких має доступ Turbine.

«Останні два роки індустрія безпеки обговорювала, наскільки автономно ШІ може опрацьовувати сповіщення, але це оминає важливіше базове питання: звідки взялося сповіщення?» — сказав співзасновник і генеральний директор Swimlane Коді Корнелл.

У випуску також описано створення правил виявлення за допомогою ШІ. Команди можуть описати потрібне їм правило й скористатися можливостями Turbine зі створення сценаріїв автоматизації, щоб спростити його розроблення. Однак генерування такої логіки та підтвердження того, що вона надійно виявляє потрібну поведінку, — це окремі завдання: правила, специфічні для організації, мають враховувати дані, дозволи й умови середовища, у якому їх застосовують.

Розслідування інцидентів, джерелом яких можуть бути системи ШІ

Swimlane називає такі сценарії виявленням загроз і реагуванням у системах ШІ (AIDR): сама система ШІ стає об’єктом інциденту. Це відрізняється від простого використання моделі ШІ для узагальнення звичайного сповіщення про фішинг або загрозу на кінцевому пристрої.

Атака через впровадження промпту наочно демонструє цю відмінність. Агент може натрапити на інструкції, вбудовані в оброблюваний ним вміст, що створює ризик впливу зовнішніх матеріалів на його поведінку. Для належного розслідування може знадобитися перевірити вхідні дані агента, його взаємодію з інструментами та подальші дії, а не лише шукати знайому ознаку шкідливого програмного забезпечення.

Так само неочікуваний сплеск витрат може свідчити про збій у роботі агента або його використання не за призначенням, навіть якщо це не схоже на традиційне вторгнення. Користувацькі правила дають командам змогу визначати, що є відхиленням від норми в їхньому середовищі, за умови доступності необхідних даних про використання та операційних показників.

Заявлений масштаб обробки — це характеристика, зазначена компанією, а не опублікований результат тестування, який підтверджував би виявлення всіх видів атак через впровадження промпту або несанкціонованого використання ШІ. Практична зміна полягає в тому, що команди отримують ще один спосіб перетворювати власні спостереження на справи, що потребують реагування, поряд зі сповіщеннями від наявних продуктів безпеки.

MCP з’єднує агентів з автоматизацією в обох напрямках

MCP забезпечує спільний інтерфейс, за допомогою якого застосунки ШІ можуть використовувати інструменти. Жовтневий випуск Swimlane підтримує обидва напрямки такого зв’язку.

Як хост MCP, Turbine дає Hero AI змогу підключатися до сторонніх серверів MCP і використовувати їхні інструменти під час розслідувань і виконання сценаріїв автоматизації, а також забезпечує централізовану автентифікацію та контроль доступу. Завдяки цьому робочий процес із безпеки може використовувати зовнішні можливості, сумісні з MCP, поряд із уже наявними інтеграціями через API.

Як сервер MCP, Turbine надає зовнішнім клієнтам ШІ доступ до автоматизації, роботу якої контролюють. В анонсі як приклади клієнтів, здатних викликати компоненти Turbine, зокрема багатокрокові сценарії автоматизації, у межах наявної системи контролю доступу на основі ролей названо Claude, ChatGPT, Cursor, Gemini CLI та Microsoft Copilot.

Це розрізнення має важливе значення. У першому випадку агент Swimlane звертається до іншої системи. У другому зовнішній асистент може запустити затверджений робочий процес Turbine. Підключення асистента до вже наявного плейбука дає підприємству змогу повторно використовувати автоматизацію та дозволи, які воно вже має, замість того щоб відтворювати операційний процес у кожному клієнті ШІ.

За словами Swimlane, Turbine може поєднувати інструменти MCP зі звичайними API. Тому цей випуск актуальний для середовищ, де MCP підтримують лише деякі системи: команди можуть інтегрувати цей протокол у ширший робочий процес, не змушуючи одразу змінювати всі наявні інтеграції.

Створення застосунків для безпеки з перевіркою людиною

Агент-конструктор застосунків Hero AI вирішує ще одне завдання: налаштування структур записів, макетів і робочих процесів, необхідних для нового сценарію використання в галузі безпеки. Користувачі описують свої потреби звичайною мовою, а агент створює або змінює відповідний застосунок.

Згідно з повідомленням, згенеровані зміни не зберігаються, доки їх не перевірить людина. Зміни виділено, і користувачі можуть прийняти або відхилити їх, перш ніж вони набудуть чинності. Цей етап затвердження важливий, адже структура застосунку може впливати на те, як аналітики фіксують докази, переміщують справи між етапами та вживають заходів реагування.

Новий агент розвиває ширшу лінійку Hero AI. У матеріалах Swimlane про продукти описано наявних агентів для приймання даних, створення плейбуків, візуалізації та розслідувань, а також можливість вибирати моделі для окремих агентів. Створення застосунків поширює цю допомогу на робоче середовище, у якому виконують ці завдання.

Поєднання міркувань ШІ з передбачуваною автоматизацією

Ці доповнення інтегруються в модель маршрутизації Swimlane AI SOC, яка спрямовує роботу між детермінованою автоматизацією, розслідуванням за допомогою ШІ та повністю агентним розслідуванням залежно від потрібного рівня міркувань. Наявні плейбуки можуть виконувати звичні етапи, тоді як у складніших випадках можна залучити агентне розслідування та перевірку людиною.

Це важливий елемент дизайну продукту: робочий процес не обов’язково має передавати кожне завдання моделі. Відомий сценарій реагування може залишатися звичайною автоматизацією, а агент допомагатиме інтерпретувати незвичні докази або складати план розслідування.

Визначення виявлень клієнтом додає до цієї моделі роботи ще одне, попереднє рішення: що саме має запускати процес? Для команд безпеки, які впроваджують ШІ в усій організації, жовтневий випуск дає змогу поєднати власні знання про прийнятну поведінку з інструментами, які розслідують інциденти та реагують на них, коли активність виходить за встановлені межі.