Обсуждение Agenic SOC: CrowdStrike.
За последние шесть месяцев наиболее распространенным словом для безопасного кружкового конференц-стола, запуска производителя и круга друзей A-CISO, вероятно, является Agentic SOC. И то, что на самом деле определяет это слово как нарратив индустрии, это CrowdStrike. И проблема заключается в следующем: кто несет ответственность за то, что произошло, когда SOC дал ИИ автоматическое отвлечение полиции и определение злобы? CrowdStrike, как ты смеешь позволять ИИ судить?
Оригинальное название: Response window from week to second
Решение CrowdStrike осенью 2025 года заключается в том, что злоумышленники находятся в процессе AIization, что время перерыва (время прорыва) было сокращено с часа до минуты, и что окно ответа аналитика было сжато. Каждый день команда SOC была затоплена полицией, отдельными работниками и повторными расследованиями, о которых ложно сообщала тактическая последовательность людей. Это линия давления, которую оказывает агентный SOC: не заменять ИИ, но люди не могут справиться с этим.
Первое дно: миллионы обучающих данных для принятия экспертных решений
Пусть ИИ судит, худший страх заключается в том, что качество суждения необоснованно. Ответ, данный CrowdStrike, скрыт в его наименее заметном активе: сервисе MDR Falcon Complete Next-Gen. За последние 10 лет эта команда по тестированию и реагированию на хостинг «золотого стандарта» приняла миллионы решений о ручной сортировке в реальной клиентской среде, каждая из которых представляет собой образец для встречной выборки с экспертной меткой.
Шарлотта ИИ была обучена этим данным, а не общему языку Интернета. Официально в пресс-релизе Detection Triage было подчеркнуто, что, в отличие от генерических моделей, обученных на широкой базе знаний, Charlotte AI был основан на собственных наборах данных и был основан на реальной конкурентной тактике. Другими словами, он осмелился позволить ИИ учиться управлять, потому что ИИ учился у экспертов по безопасности первой линии на протяжении многих лет. Это первое кольцо колеса данных: обучающие данные от экспертов-людей, а не общедоступный текст.
Вторая база: ограниченная автономия, границы, проведенные клиентами
Это самый важный инженерный проект во всей истории. В феврале 2025 года, Шарлотта AI Detection Triage of GA, официальная калибровка заключается в том, что она работает в соответствии с определенной клиентом моделью территориальной автономии, с точностью более 98% для обнаружения консультаций и в среднем для устранения ручной работы более 40 часов в неделю.
Обратите внимание, что слово «связан» не является ИИ: именно команда безопасности определяет, когда и каким образом допускаются автоматизированные действия — от диагноза до окончательного ответа, внутри забора, где люди сохраняют полный контроль. Заявление генерального директора CrowdStrike Элии Зайцева прямолинейно: пусть организация «контролирует, когда и как она автоматизируется, и держит ИИ надежным, подотчетным и под управлением человека».
Дизайн отвечает на одну из самых больших проблем A: это не ИИ, это то, произошло ли что-то или нет. Оповещения с низким уровнем риска с высокой степенью уверенности позволяют ИИ отключать напрямую; действия по удалению (сегрегированные хосты, заблокированные учетные записи) обновляются до человеческого одобрения. ИИ делает это «по вашему усмотрению», а не «беспилотно».
Третья база: обзор аналитика представляет собой замкнутый цикл, чем точнее он.
Автономия также приносит с собой побочный продукт: каждый человеческий обзор, свержение, исправление суждений ИИ преобразуется в новый тренировочный сигнал, который официально называется процессом обратной связи замкнутого цикла для постоянного улучшения результатов безопасности. AI judgment → экспертная калибровка → заполнение данных, модель постоянно приближается к уровню специалиста в человеческом сотрудничестве. Именно поэтому CrowdStrike осенью 2025 года перевел позицию аналитика с «оператора» на «оркестратора» — того, кто руководит агентским флотом рассуждений, принятия решений, действий, а не человеческой фильтрации.
Слой данных и Легион агентов: недостаточно, чтобы судить.
Пусть ИИ судит, понимает ли он всю картину. Осенью 2025 года CrowdStrike синхронизировал три головоломки:
- График EnterpriseЕдиная конечная точка, идентификация, облако, SaaS, XIOT и сторонний инструмент телеметрии AI-ready data layer, официально известный как «самый богатый в отрасли AI-ready data layer», с одним языком запросов, на котором как люди, так и делегаты могут немедленно вызывать каждый сигнал.
- Семь типов задачПриоритет воздействия, анализ вредоносного программного обеспечения, охота за угрозами, генерация связанных правил, анализ поиска, генерация рабочих процессов, преобразование данных - соответствующие семи наиболее трудоемким процессам в SOC.
- Шарлотта AI AgentWorks2026 Онлайн-экология в марте 2026 года: позволяет командам безопасности создавать, тестировать, развертывать и управлять своим собственным управлением на уровне предприятия на естественных языках; передавать способность создавать агента самому клиенту.
Добавьте Threat AI (самопровозглашенную первую в отрасли информационную систему прокси-угрозы), Agency MDR (опубликовано в RSA 2026, аналитик Falcon Complete лично разработал интеллектуальный орган для противодействия ускоряющейся угрозе ИИ), и AIDR (обнаружение ИИ и ответ, который, в свою очередь, защищает собственный ИИ фирмы) - полная логика «принесения» основана на суждениях, данных, организации, управлении.
Успокойся: 98% - производитель.
Следует напомнить, что 98 процентов коэффициента точности, 40 часов в неделю в провинции КраудСтрик, официально заявили, что данные, основанные на их внутренней оценке и сотрудничестве с клиентами, не были независимо подтверждены третьими сторонами. Затраты на принятие решений в области безопасности, естественно, асимметричны: затраты на игнорирование позитива намного выше, чем затраты на чрезмерную отчетность. Таким образом, текущая консенсусная позиция отрасли заключается в том, чтобы оставить «Ai» отсортированными, отвлеченными, абстрагированными высококлассными линиями разломов, оставив «Закрытие, обработка, квалификация» на одобрение человека в рамках автономии. Actic SOC — это не беспилотный водитель, а автоматический водитель с охранником.
Небольшое наблюдение.
CrowdStrike's Dare, который по сути является 10-летним накоплением данных MDR плюс автономный инженерный дизайн + окно для закрытия человека. То, что он действительно продает, это не «ИИ будет судить», а «ИИ будет откалиброван экспертами, в пределах, которые вы нарисовали, и людьми в каждом случае». В случае А за перечнем оценок агентного СОК также могут последовать три статьи: откуда взялись данные обучения? Кто определяет границы? Как повернуть кольцо?