Sophos skraca czas badania zagrożeń o 96% dzięki OpenAI Daybreak
Sophos twierdzi, że OpenAI Daybreak pomógł skrócić średni czas badania zagrożeń i reagowania na nie o 96% — z około 38 minut do 89 sekund. Dostawca rozwiązań cyberbezpieczeństwa podaje obecnie, że sztuczna inteligencja rozwiązuje od początku do końca 52% jego spraw związanych z zarządzanym wykrywaniem i reagowaniem.
Wyniki te stanowią krok o większym znaczeniu niż dodanie asystenta AI do konsoli analityka. Sophos powierzył agentom AI odpowiedzialność operacyjną za ponad połowę obsługiwanych spraw, w granicach stale dostosowywanych przez jego specjalistów ds. bezpieczeństwa.
To rozróżnienie stawia firmę po przeciwnej stronie znanego modelu operacji bezpieczeństwa. Zamiast wymagać od analityków nadzorowania każdego rutynowego dochodzenia, Sophos pozwala agentom obsługiwać jasno ograniczone sprawy, podczas gdy ludzie skupiają się na niepewnych lub istotnych decyzjach. Kluczowe pytanie brzmi, czy taki podział może zachować rozliczalność wraz z rozszerzaniem automatyzacji.
OpenAI Daybreak przechodzi od wsparcia do rozwiązywania spraw
Kluczową zmianą nie jest szybsze tworzenie podsumowań. Sophos pozwala agentom kończyć określone dochodzenia i działania naprawcze bez konieczności interwencji człowieka w każdej sprawie.
Według studium przypadku OpenAI, Sophos potrzebował wcześniej około 38 minut na zbadanie i obsłużenie przeciętnej sprawy. Sprawy przetwarzane przez jego nowych agentów osiągają obecnie średni czas reakcji wynoszący około 89 sekund.
Ten spadek oznacza redukcję o około 96%. Sophos podaje również, że agenci rozwiązują od początku do końca 52% spraw związanych z zarządzanym wykrywaniem i reagowaniem, czyli MDR.
MDR to usługa, w ramach której zewnętrzny zespół bezpieczeństwa stale monitoruje środowiska klientów i reaguje na wykryte zagrożenia. Zapewnia organizacjom dostęp do operacji bezpieczeństwa bez konieczności budowania kompletnego wewnętrznego centrum operacji bezpieczeństwa.
Raportowana poprawa dotyczy spraw obsługiwanych przez agentów. Nie należy jej interpretować jako dowodu, że każde dochodzenie w Sophos jest obecnie zamykane w 89 sekund.
Zakres ten ma znaczenie, ponieważ sprawy bezpieczeństwa znacznie się różnią. Znany złośliwy plik może pozwalać na ściśle określoną reakcję, podczas gdy podejrzana aktywność związana z tożsamością może wymagać kontekstu biznesowego, którego telemetria nie jest w stanie dostarczyć.
Sophos podaje, że jego system Fusion zbiera sygnały z własnych produktów oraz z ponad 500 integracji zewnętrznych. Źródła te obejmują środowiska, w których mogą znajdować się punkty końcowe, sieci, usługi chmurowe, systemy pocztowe, zapory sieciowe i platformy tożsamościowe.
Według OpenAI połączone czujniki generują każdego dnia biliony zdarzeń. Sophos filtruje i koreluje tę aktywność do około 1 000–2 000 spraw badanych przez dziewięć centrów operacji bezpieczeństwa.
Agent dochodzeniowy zbiera odpowiedni kontekst klienta, wykrycia, wskaźniki naruszenia i dane wywiadowcze o zagrożeniach. Model planistyczny następnie tworzy plan dochodzenia, wykonuje jego kroki, analizuje wyniki i przygotowuje zalecane działania.
Inni agenci mogą wykonywać części reakcji, gdy pozwalają na to upoważnienie klienta i granice operacyjne Sophos. Ten przepływ pracy przekształca model w orkiestratora, a nie jedynie interfejs konwersacyjny.
Wynik ten opiera się również na wcześniejszych działaniach automatyzacyjnych. W maju 2026 roku Sophos przedstawił wyniki agentowego SOC, obejmujące rok użytkowania produkcyjnego.
W tym komunikacie również wskazano 89-sekundowy czas zautomatyzowanej reakcji oraz wskaźnik zamknięcia spraw od początku do końca na poziomie 52%. Październikowe studium przypadku OpenAI dostarcza zatem więcej szczegółów o roli Daybreak, zamiast po raz pierwszy przedstawiać te pomiary.
Ta historia czyni dowody bardziej istotnymi niż demonstracja laboratoryjna. Jednak oba opublikowane opisy nadal opierają się na pomiarach raportowanych przez firmę, a nie na niezależnym porównaniu wykorzystującym wspólny branżowy punkt odniesienia.
Dlaczego 89-sekundowa reakcja zmienia rywalizację w MDR
Sophos wywiera presję na dostawców zarządzanych usług bezpieczeństwa, aby konkurowali kompletnymi wynikami, a nie liczbą alertów, które ich AI potrafi podsumować.
Zespoły operacji bezpieczeństwa już wykorzystują automatyzację do tłumienia szumu, korelowania alertów i ustalania priorytetów podejrzanej aktywności. Trudniejszym krokiem jest pozwolenie oprogramowaniu na uznanie, że dowody uzasadniają reakcję, a następnie jej wykonanie.
Sophos twierdzi, że jego działalność MDR chroni ponad 40 000 klientów. Szersze portfolio produktów firmy obsługuje ponad 625 000 organizacji, zapewniając jej dużą pulę sygnałów bezpieczeństwa i doświadczeń operacyjnych.
W takiej skali nawet niewielka ilość pracy ręcznej przypadająca na sprawę staje się kosztowna. Wolumen spraw może także rosnąć szybciej, niż organizacja jest w stanie rekrutować i szkolić doświadczonych analityków.
Wdrożenie Daybreak zmienia równanie skalowania. Sophos może zwiększać zdolność wnioskowania modeli i automatyzacji bez zatrudniania jednego analityka na każdy odpowiadający wzrost liczby rutynowych dochodzeń.
Nie oznacza to, że analitycy znikają z modelu operacyjnego. Oznacza, że ich praca przesuwa się od zbierania rutynowego kontekstu ku nowym atakom, niejednoznacznym dowodom, komunikacji z klientami, polowaniu na zagrożenia i zarządzaniu.
To rozróżnienie jest ważne dla nabywców. Narzędzie tworzące podsumowanie incydentu może oszczędzać minuty, ale nadal pozostawia ciężar decyzji i wykonania po stronie ludzkiej kolejki.
Agent, który zbiera dowody, testuje hipotezę, wydaje ograniczony werdykt i wykonuje zatwierdzone działanie, zmienia samą kolejkę. Rutynowe sprawy nie muszą już czekać, aż analityk dotknie każdego etapu.
Sophos zbudował już istotny proces filtrowania przed Daybreak. Wcześniejszy opis jego przepływu zdarzeń MDR wyjaśniał, jak telemetria jest oczyszczana, wzbogacana, korelowana, priorytetyzowana i eskalowana.
W momencie publikacji proces ten przetwarzał w typowym dniu około 31 miliardów zdarzeń i 358 milionów wykryć. Redukował tę aktywność do 367 dochodzeń, 47 eskalacji i jednego aktywnego zagrożenia.
Wcześniejsze dane opisują inny okres raportowania i nie powinny być bezpośrednio łączone z nowszymi dziennymi szacunkami. Nadal ilustrują jednak, dlaczego filtrowanie ma kluczowe znaczenie dla zarządzanych operacji bezpieczeństwa.
Agenci wkraczają do działania po tym, jak kilka warstw zawęziło już dane. Nie rozumują niezależnie na podstawie każdego surowego zdarzenia generowanego przez każdego klienta.
Ta architektura daje Sophos możliwą do obrony przewagę nad firmami, które stosują modele ogólnego przeznaczenia bezpośrednio do nieustrukturyzowanych alertów. Agenci otrzymują wyselekcjonowane sprawy, dane wywiadowcze o zagrożeniach, procedury reakcji i kontekst klienta.
Konkurenci dążą do podobnego celu. Agenci Microsoft Security Copilot mogą wspierać klasyfikację incydentów, analizę danych wywiadowczych o zagrożeniach, dochodzenia i wskazówki dotyczące naprawy w produktach bezpieczeństwa Microsoft.
Dokumentacja Microsoft opisuje agentów analizujących incydenty, wyodrębniających encje, korelujących sygnały i określających, czy aktywność jest złośliwa. Potwierdza to, że operacje bezpieczeństwa prowadzone przez agentów stają się branżową rywalizacją, a nie eksperymentem jednej firmy.
Wyróżnikiem Sophos jest twierdzenie o rozwiązywaniu od początku do końca spraw na skalę produkcyjną w ramach usługi zarządzanej. Konkurenci będą pod presją, aby ujawniać porównywalne wskaźniki ukończenia, czasy reakcji, wskaźniki eskalacji i modele autoryzacji.
Jak agenci bezpieczeństwa AI Sophos dzielą pracę
Mechanizm działa, ponieważ Sophos ogranicza uprawnienia agentów według typu sprawy, preferencji klienta i potencjalnego wpływu.
OpenAI opisuje Daybreak jako zarządzany stos cyberbezpieczeństwa łączący wyspecjalizowane modele, warstwę wykonawczą, narzędzia bezpieczeństwa, zaufane przepływy pracy i partnerów branżowych. Jego deklarowanym celem jest wspieranie działań obronnych przy zachowaniu ludzkiej kontroli nad dostępem i działaniami.
Sophos zapewnia środowisko operacyjne wokół tych modeli. Obejmuje ono dane wywiadowcze o zagrożeniach, procedury dochodzeniowe, telemetrię klientów, logikę wykrywania i procedury reakcji opracowane przez lata prowadzenia operacji bezpieczeństwa.
To połączenie ma znaczenie, ponieważ sam model językowy nie wie, czy nieznany proces jest normalny dla konkretnej organizacji. Potrzebuje aktualnych szczegółów dotyczących zasobów, informacji o tożsamości, historii aktywności i zweryfikowanych dowodów bezpieczeństwa.
Dla każdej sprawy agent dochodzeniowy gromadzi ten kontekst. System planowania następnie działa w pętli planowania, wykonania i przeglądu, zamiast generować jedną odpowiedź na podstawie jednego polecenia.
Podział pracy na etapy pozwala systemowi ponownie oceniać dowody. Tworzy także ustrukturyzowany zapis, który analitycy mogą przeanalizować, gdy sprawa wymaga eskalacji.
Sophos dzieli uprawnienia do reakcji wobec klientów na trzy tryby operacyjne. W ramach Notify Sophos prowadzi dochodzenie i rekomenduje działanie, ale wykonuje je klient.
W ramach Collaborate Sophos i klient współpracują przed podjęciem działania. W ramach Authorise Sophos może reagować bezpośrednio w imieniu klienta w uzgodnionych granicach.
Zasady te obowiązują niezależnie od tego, czy pracę wykonuje człowiek, czy agent. Agent nie otrzymuje automatycznie szerszych uprawnień tylko dlatego, że może szybko wydać werdykt.
Potencjalnie destrukcyjne działania nadal podlegają odpowiedniemu nadzorowi. John Peterson, dyrektor ds. technologii Sophos, powiedział OpenAI, że sprawy wykraczające poza poziom komfortu firmy są przekazywane do oceny ludzi.
Tworzy to dwa powiązane wzorce działania. Automatyzacja typu human-on-the-loop pozwala specjalistom nadzorować dobrze ograniczoną pracę bez indywidualnego zatwierdzania każdego działania.
Działanie typu human-in-the-loop wymaga interwencji człowieka, zanim wrażliwa decyzja lub reakcja zostanie zrealizowana. Sophos twierdzi, że stosuje ten bardziej rygorystyczny model w przypadku nowych wzorców, decyzji o wysokiej stawce i spraw wymagających kontekstu biznesowego.
Ten podział pomaga wyjaśnić, jak automatyzacja na poziomie 52% może współistnieć z ludzką rozliczalnością. Zautomatyzowany udział reprezentuje sprawy, które według Sophos mieszczą się w ustalonych granicach, a nie zgodę na nieograniczoną autonomiczną reakcję.
Wyjaśnia również, dlaczego pozostałe 48% ma znaczenie. Sprawy opierające się automatyzacji prawdopodobnie obejmują nietypowe zachowania, niepełne dowody lub konsekwencje biznesowe wymagające głębszej wiedzy specjalistycznej.
Proste odczytanie tego jako wzrostu produktywności pomija tę redystrybucję. Wartość systemu zależy od tego, czy przesuwa analityków w stronę bardziej istotnej pracy, nie dopuszczając jednocześnie do zaniku ich rutynowych umiejętności dochodzeniowych.
Organizacje wdrażające podobne systemy będą potrzebować trwałej dokumentacji procedur reakcji, wcześniejszych incydentów i wyjątków operacyjnych. Przeszukiwalna baza wiedzy inżynieryjnej może pomóc zespołom zachować ten kontekst, choć nie zastąpi zweryfikowanych mechanizmów bezpieczeństwa.
Mechanizm ma zatem dwa kluczowe komponenty. Modele zapewniają szybkość i zdolność rozumowania, podczas gdy zarządzanie określa, które wnioski mogą uruchamiać działanie.
Ludzki nadzór to system kontroli, a nie slogan
Nierozstrzygniętą kwestią jest to, czy Sophos potrafi mierzyć błędy agentów równie rygorystycznie, jak mierzy ich szybkość.
Redukcja o 96% i wskaźnik zamknięcia spraw na poziomie 52% opisują przepustowość. Nie ujawniają wskaźników fałszywie pozytywnych i fałszywie negatywnych wyników, ponownie otwartych spraw, cofnięć decyzji przez klientów ani częstotliwości korekt dokonywanych przez analityków.
Te braki nie unieważniają wyników. Ograniczają jednak to, co zewnętrzni obserwatorzy mogą stwierdzić na temat niezawodności.
Szybka reakcja ma wartość, gdy agent prawidłowo izoluje przejęte urządzenie. Ta sama szybkość staje się niebezpieczna, jeśli po błędnym odczytaniu legalnej aktywności administracyjnej wyłączy system krytyczny.
Agenci cyberbezpieczeństwa działają również w środowisku adversarialnym. Atakujący mogą celowo tworzyć pliki, wiadomości, polecenia i treści internetowe, które mają zmylić zautomatyzowaną analizę.
Modele mogą generować wiarygodnie brzmiące, lecz błędne interpretacje, gdy dowody są niepełne. Mogą też nadmiernie ufać słabym wskaźnikom albo nie dostrzegać kontekstu rozpoznawalnego dla doświadczonego analityka.
Nie jest to teoretyczne ograniczenie właściwe wyłącznie Sophos. Anthropic poinformował, że system AI wykorzystywany w skoordynowanej kampanii cybernetycznego szpiegostwa czasami zawyżał ustalenia i fabrykował dane podczas autonomicznej pracy.
W swojej analizie kampanii model miał twierdzić, że zdobył poświadczenia, które okazywały się nieskuteczne, oraz błędnie oznaczać publicznie dostępne informacje jako istotne odkrycia.
Przypadek ten dotyczył ofensywnego nadużycia, a nie systemu defensywnego Sophos. Mimo to pokazuje, dlaczego dowody i wnioski generowane przez model wymagają weryfikacji przed podjęciem działań o istotnych konsekwencjach.
Microsoft formułuje podobne ostrzeżenia dotyczące własnych agentów bezpieczeństwa. Jego wytyczne dotyczące odpowiedzialnej AI wskazują, że generowane odpowiedzi mogą być niedokładne, niepełne lub nieaktualne.
Microsoft zaleca klientom stosowanie odpowiedniego nadzoru człowieka, weryfikowanie krytycznych wyników, przyznawanie uprawnień zgodnie z zasadą najmniejszych uprawnień oraz unikanie nadmiernego polegania na automatyzacji. Zasady te odnoszą się w równym stopniu do każdego agenta, który może prowadzić dochodzenie lub reagować.
Trzy tryby autoryzacji Sophos zapewniają wiarygodne ramy kontroli. Ich skuteczność zależy jednak od sposobu definiowania, testowania, monitorowania i aktualizowania granic.
Firma twierdzi, że analitycy stale kalibrują te limity. Szersze ujawnienie informacji pomogłoby klientom zrozumieć, co ten proces oznacza w praktyce.
Przydatne wskaźniki obejmowałyby odsetek zautomatyzowanych spraw później ponownie otwieranych, częstotliwość nadpisań decyzji przez klientów oraz liczbę działań zablokowanych przez polityki bezpieczeństwa. Sophos mógłby również raportować wyniki według kategorii spraw.
Wyniki zagregowane mogą ukrywać istotne różnice. Powstrzymywanie malware, analiza phishingu, przejęcie tożsamości, błędna konfiguracja chmury i aktywność insiderów wiążą się z odmiennymi dowodami oraz konsekwencjami.
Klienci potrzebują także jasności w kwestii przetwarzania danych. Dochodzenie może obejmować szczegóły urządzeń, tożsamości użytkowników, metadane wiadomości e-mail, dane o zagrożeniach oraz informacje pozyskane z produktów bezpieczeństwa innych firm.
Istotne pytania dotyczą tego, gdzie dane są przetwarzane, jak długo są przechowywane, które komponenty modelu mogą uzyskiwać do nich dostęp oraz w jaki sposób działania są rejestrowane. Kontrole kontraktowe są ważne obok wydajności modelu.
Nadzór człowieka również ma własne tryby awarii. Analitycy mogą stawać się mniej uważni, gdy automatyzacja zazwyczaj działa poprawnie — zjawisko to często określa się jako bias automatyzacji.
Osoby dokonujące przeglądu potrzebują także wystarczającej widoczności dowodów i procesu rozumowania agenta, aby móc zakwestionować jego wniosek. Rekomendacja bez możliwego do prześledzenia uzasadnienia sprzyja zatwierdzaniu z przyzwyczajenia.
Testem nie jest więc to, czy człowiek nadal pozostaje gdzieś w procesie. Testem jest to, czy ta osoba ma uprawnienia, czas, kontekst i użyteczne dowody, aby zatrzymać błędne działanie.
Rzeczywista rywalizacja to ograniczona autonomia kontra pomoc Copilota
Sophos stawia na to, że zarządzana autonomia zapewnia większą wartość operacyjną niż asystent AI oczekujący na kolejne polecenie analityka.
Wczesna generacja copilotów bezpieczeństwa koncentrowała się na dostępie konwersacyjnym. Analitycy mogli prosić o podsumowania incydentów, tworzyć zapytania, wyjaśniać podejrzane skrypty i przygotowywać instrukcje naprawcze.
Funkcje te zmniejszają obciążenie poznawcze i administracyjne. Niekoniecznie jednak usuwają sprawy z kolejki dochodzeń.
Podejście Sophos obejmuje cały cykl życia wybranych spraw. Agent zbiera kontekst, planuje dochodzenie, wykonuje kolejne kroki, analizuje wyniki, rekomenduje reakcję, a czasem ją realizuje.
Ta różnica tworzy główne napięcie artykułu. Pomoc Copilota utrzymuje człowieka w każdej pętli operacyjnej, podczas gdy ograniczona autonomia usuwa ten wymóg w przypadku powtarzalnych spraw.
Żadne z tych podejść nie jest uniwersalnie lepsze. Pomoc Copilota łatwiej wdrożyć tam, gdzie jakość danych jest zmienna, procesy pozostają nieformalne lub konsekwencje błędu są poważne.
Ograniczona autonomia staje się bardziej atrakcyjna, gdy organizacja dysponuje wiarygodną telemetrią, dojrzałymi playbookami, jasnymi uprawnieniami i wystarczającą liczbą spraw, aby uzasadnić szeroko zakrojoną walidację.
Sophos spełnia kilka z tych warunków. Jego usługa zarządzana centralizuje procedury dla tysięcy klientów i wielokrotnie napotyka rozpoznawalne wzorce ataków.
Typowy zespół bezpieczeństwa w przedsiębiorstwie może nie mieć tej samej przewagi. Jego logi mogą być niekompletne, procesy reagowania mogą różnić się między jednostkami biznesowymi, a odpowiedzialność może być niejasna.
Różnica ta ogranicza możliwość bezpośrednich porównań między Sophos a wewnętrznymi centrami operacji bezpieczeństwa. Zarządzany dostawca może standaryzować infrastrukturę i polityki bardziej agresywnie niż wielu pojedynczych klientów.
Oznacza to również, że wynik Daybreak jest częściowo historią operacyjną. Model funkcjonuje w systemie, który już filtruje zdarzenia, wzbogaca detekcje, organizuje sprawy i definiuje uprawnienia do reakcji.
Szerszy program Daybreak OpenAI przedstawia cyberbezpieczeństwo jako ciągłą pętlę obejmującą inwentaryzację, wykrywanie, walidację, przydzielanie, naprawę i potwierdzenie. Ta ambicja wykracza znacznie poza pomoc opartą na czacie.
Jeśli ten model się upowszechni, kupujący będą potrzebowali lepszego słownictwa do oceny automatyzacji. Etykieta „wspierane przez AI” prawie nic nie mówi o tym, co produkt faktycznie robi.
Przydatna ocena powinna pytać, co inicjuje agenta, jakie dowody może on pobierać, jakimi narzędziami może operować i jakie działania może podejmować. Kupujący powinni również pytać, kiedy eskalacja staje się obowiązkowa.
Wskaźnik ukończenia jest kolejną ważną miarą. Agent, który autonomicznie zamyka dobrze zdefiniowaną sprawę, zapewnia inny rezultat niż taki, który oszczędza analitykowi kilka minut.
Dostawcy nie powinni jednak konkurować poprzez maksymalizowanie autonomicznego zamykania spraw za wszelką cenę. Niższy wskaźnik zamknięć może odzwierciedlać bardziej rygorystyczne progi bezpieczeństwa lub bardziej złożoną bazę klientów.
Istotnym celem jest odpowiedni poziom automatyzacji dla określonego poziomu ryzyka. Wymaga to łącznego raportowania szybkości, dokładności, jakości eskalacji i wpływu operacyjnego.
Sophos przybliżył dyskusję do tego standardu, publikując czas reakcji i wskaźnik zamknięcia spraw od początku do końca. Kolejnym krokiem jest połączenie tych liczb z przejrzystymi miarami niezawodności.
Co obserwować po wdrożeniu OpenAI Daybreak
Kolejna faza pokaże, czy Sophos ustanowił trwały model operacyjny bezpieczeństwa, czy też opublikował imponujący obraz wyników z korzystnych obciążeń roboczych.
Pierwszym sygnałem będzie jakość zautomatyzowanych spraw w czasie. Klienci powinni zwracać uwagę na informacje o ponownie otwieranych dochodzeniach, błędnych reakcjach, przeoczonych zagrożeniach i nadpisaniach decyzji przez analityków.
Stabilne wyniki wzmocniłyby argument Sophos, że 52% wskaźnik zamknięć odzwierciedla niezawodną automatyzację. Rosnące wskaźniki korekt sugerowałyby, że większa autonomia przesuwa pracę, zamiast ją eliminować.
Drugim sygnałem będzie rozszerzenie na trudniejsze działania reakcyjne. Sophos twierdzi, że planuje poszerzyć zastosowania agentów i zwiększyć zaawansowanie ich możliwości reagowania.
To rozszerzenie sprawdzi ramy zarządzania. Zbieranie dowodów i powstrzymywanie znanego złośliwego endpointu wiążą się z innym ryzykiem niż zmiana uprawnień tożsamości lub zakłócanie infrastruktury produkcyjnej.
Sukces powinien być zatem mierzony kontrolowanym zakresem, a nie wyłącznie wyższym odsetkiem automatyzacji. Firma musi pokazać, że dodatkowym uprawnieniom towarzyszą odpowiednie mechanizmy oceny i wycofywania zmian.
Trzecim sygnałem będzie raportowanie konkurentów. Microsoft i inni dostawcy rozwiązań bezpieczeństwa już oferują agentów do triage, dochodzeń, analizy informacji o zagrożeniach i procesów naprawczych.
Jeśli konkurenci zaczną publikować wskaźniki rozwiązywania spraw od początku do końca oraz porównywalne dane czasowe, kupujący uzyskają wyraźniejszy punkt odniesienia dla rynku. Jeśli będą unikać tych miar, ujawnione przez Sophos dane produkcyjne pozostaną istotnym wyróżnikiem.
Klienci powinni nadal sprawdzać, czy porównania wykorzystują ten sam punkt początkowy. „Czas reakcji” może zaczynać się od wygenerowania alertu, utworzenia sprawy, aktywacji modelu lub walidacji przez analityka.
Powinni także oddzielać zautomatyzowane powstrzymanie zagrożenia od pełnej naprawy. Izolowanie urządzenia może zatrzymać natychmiastową aktywność, ale przywrócenie systemów i zamknięcie ścieżki dostępu atakującego może wymagać dodatkowej pracy.
Dla liderów bezpieczeństwa praktyczną odpowiedzią nie jest żądanie nieograniczonej autonomii. Jest nią identyfikacja spraw o dużym wolumenie, wiarygodnych dowodach, odwracalnych działaniach i dojrzałych regułach eskalacji.
Następnie mogą ocenić, czy agenci ograniczają całkowity nakład pracy analityków bez osłabiania jakości wykrywania lub rozliczalności. Ocena ta powinna obejmować testy adversarialne i rutynowe próbkowanie automatycznie zamkniętych spraw.
Raportowane przez Sophos wyniki utrudniają dalsze odkładanie tej oceny. Skrócenie czasu z 38 minut do 89 sekund zmienia oczekiwania wobec rutynowych zarządzanych dochodzeń, nawet przy obecnych ograniczeniach weryfikacji.
OpenAI Daybreak pokazuje również, gdzie agenci korporacyjni stają się najbardziej istotni. Ich wartość polega mniej na tworzeniu płynnych wyjaśnień, a bardziej na realizowaniu zarządzanych procesów połączonych z rzeczywistymi narzędziami.
Końcowe pytanie dla kupujących jest konkretne: czy dostawca potrafi pokazać, które sprawy jego agenci zamykają, jak często te decyzje są korygowane i kto pozostaje odpowiedzialny, gdy automatyzacja zawodzi?
Te odpowiedzi będą ważniejsze niż największy nagłówkowy odsetek. Zespoły bezpieczeństwa powinny o nie poprosić przed przyznaniem jakiemukolwiek agentowi szerszych uprawnień, a następnie stale je mierzyć po wdrożeniu.
