Swimlane 为 Turbine 新增自定义 AI 威胁检测和双向 MCP 支持

AI 安全分析师可以快速调查警报，但无法调查从未生成的警告。Swimlane正通过在 Turbine 平台中新增由客户定义的检测功能来填补这一空白，使安全团队能够针对运营数据应用自有逻辑，并将由此生成的警报直接送入 Swimlane AI SOC。

10 月 28 日发布的版本还新增了双向模型上下文协议（MCP）支持，以及 Hero AI Application Builder Agent。这些新增功能共同扩展了公司的自动化平台，覆盖三个相互关联的任务：判断哪些活动值得调查、让智能体连接工具，以及构建支持安全工作流程的应用程序。

Swimlane 表示，这些功能现已全面开放使用。公告将它们定位为现有安全基础设施的补充，其中包括安全信息和事件管理（SIEM）、端点检测与响应（EDR）以及云安全工具。

让安全团队决定哪些情况会触发警报

许多 AI SOC 产品侧重于在检测系统发现可疑行为后进行分类、调查和响应。当组织部署新型智能体、副驾驶、本地模型和 MCP 服务器的速度超过传统检测产品的适配速度时，这种分工就会变得更加棘手。

企业可能需要调查提交给未经授权的 AI 服务的敏感信息、本地模型的异常使用、已禁用的防护措施，或消耗资源远超预定预算的智能体。其中一些情况取决于组织自身的政策和环境，而非供应商能够预先定义的通用特征。

新的 Turbine功能可让团队针对平台能够访问的数据运行自有检测逻辑。Swimlane 表示，单次大数据操作可通过并行计算节点评估数万条记录，随后将警报转交 AI SOC，以便开展调查并按照既定治理要求采取响应措施。

这种架构让检测逻辑更贴近后续执行操作的自动化流程。团队无需先单独识别某种情况，再手动安排后续步骤，而是可以将组织专属规则接入现有调查工作流程。不过，任何检测能否发挥作用，仍取决于 Turbine 可访问的数据是否包含相关活动。

“过去两年，安全行业一直在讨论 AI 能以多大程度自主处理警报，但这忽略了一个更基本的问题：警报从何而来？”Swimlane 联合创始人兼首席执行官 Cody Cornell 表示。

该版本还介绍了 AI 辅助编写检测规则的功能。团队可以描述希望实现的检测，并利用 Turbine 的剧本生成功能协助构建规则。但生成规则逻辑和确认它能否可靠识别目标行为，仍是两项不同的工作：组织专属规则必须符合其运行环境中的数据、权限和条件。

将 AI 系统作为潜在事件源进行调查

Swimlane 将这些场景称为 AI 检测与响应（AIDR）：AI 系统本身成为事件调查对象。这与单纯使用 AI 模型概述常规网络钓鱼或端点警报有所不同。

提示注入体现了两者的区别。智能体可能会遇到嵌入其正在处理的内容中的指令，从而面临外部内容影响其行为的风险。有效的调查可能需要检查智能体的输入、工具活动和由此采取的操作，而不能只查找常见的恶意软件指标。

同样，支出突然异常飙升可能表明智能体发生故障或偏离预定用途，但未必类似于传统入侵。只要能获取必要的使用情况和运营信号，客户自定义逻辑就能让团队明确表达在自身部署环境中哪些情况属于异常。

公告中提到的处理规模是公司给出的规格，并非针对各种提示注入或未经授权使用 AI 的检测效果而公开的基准测试。实际变化在于，除了使用传统安全产品提供的警报，团队还多了一种途径，可以将自身观察到的情况转化为可采取行动的案件。

MCP 实现智能体与自动化的双向连接

MCP 提供通用接口，让 AI 应用能够使用各类工具。Swimlane 在 10 月发布的版本支持这种连接的两个方向。

作为 MCP 主机，Turbine 允许 Hero AI 连接第三方 MCP 服务器，并在调查和剧本执行过程中使用其工具，同时通过集中式身份验证和访问控制加以管理。因此，安全工作流程可以像调用现有 API 集成一样，调用外部兼容 MCP 的功能。

作为 MCP 服务器，Turbine 可向外部 AI 客户端开放受治理的自动化能力。公告列举 Claude、ChatGPT、Cursor、Gemini CLI 和 Microsoft Copilot 作为客户端示例：这些客户端可以在现有的基于角色的访问控制范围内调用 Turbine 组件，包括多步骤剧本。

这一区别至关重要。前一种情况下，Swimlane 的代理会主动连接另一个系统；后一种情况下，外部助手则可以启动经批准的 Turbine 工作流。将助手连接到现有行动手册，能让企业复用已有的自动化流程和权限，而不必在每个 AI 客户端中重新创建运营流程。

Swimlane 表示，Turbine 可以将 MCP 工具与传统 API 结合使用。因此，对于只有部分系统支持 MCP 的环境而言，此次发布具有实际意义：团队可以将这一协议纳入更广泛的工作流，而不必一次性改动所有现有集成。

通过人工审核构建安全应用

Hero AI 应用构建代理旨在解决另一项工作负担：配置新安全用例所需的记录结构、布局和工作流。用户用自然语言描述需求，代理便会创建或修改相应的应用。

据发布公告介绍，生成的更改在经过人工审核前不会保存。更改会以高亮方式标出，用户可在其正式生效前接受或拒绝。这一审批环节十分重要，因为应用结构会影响分析人员如何收集证据、如何将案件推进至不同阶段，以及如何采取应对措施。

这一新代理建立在更广泛的 Hero AI 产品组合之上。Swimlane 的产品资料介绍了现有代理的功能，包括数据摄取、行动手册生成、可视化和调查；资料还提到，用户可以为各个代理选择模型。应用构建功能则将这类辅助能力扩展到围绕这些任务开展工作的运营环境中。

将 AI 推理与可预测的自动化相结合

这些新增功能融入了Swimlane AI SOC 的路由模型，该模型会根据所需的推理能力，在确定性自动化、AI 辅助调查和完全自主的代理式调查之间分配工作。现有行动手册可以处理常见步骤，而更复杂的案件则可以借助代理式调查和人工审核。

这是该产品设计中的一个重要方面：工作流不必将每项任务都交由模型处理。已知的响应流程可以继续采用传统自动化，而代理则可以协助解读陌生证据或制定调查计划。

由客户定义的检测机制，会在这一运营模式中引入一个更早的决策问题：究竟应该由什么情况触发流程？对于在整个组织中采用 AI 的安全团队而言，十月发布的这项功能提供了一种途径，可将团队对可接受行为的认知与相关工具连接起来，以便在活动偏离可接受范围时开展调查并作出响应。