ИИ в ИБ: когда опасно, а когда полезно?
Что сегодня уже умеют делать ИИ-агенты? Собирать связанные события, находить похожие случаи, обращаться к внутренним инструкциям, анализировать информацию и предлагать дальнейшие действия. А при наличии необходимых интеграций — ещё и выполнять их.
Разберём пример: поступает алерт, что аккаунт одного из сотрудников, возможно, скомпрометирован.
Проблема — цена ошибки агента.
Допустим, ИИ решил, что аккаунт действительно скомпрометирован и его нужно заблокировать. Если он прав — всё хорошо: угрозу удалось устранить. Но если ИИ заблокирует аккаунт невиновного сотрудника, тот просто не сможет работать. Если прямо сейчас этот сотрудник координирует устранение другого инцидента или выполняет срочное исправление, цена ошибки вырастет.
Или наоборот: ИИ решит, что угрозы нет, хотя аккаунт действительно скомпрометирован. Тогда ошибка может означать, что реальная атака останется незамеченной.
В примере с алертом решение стоит оставить за человеком. ИИ анализирует ситуацию, формирует выводы и передаёт их дежурному специалисту. Но то, что он проверяет десятки событий, фактов и выводов от ИИ, означает, что вместо автоматизации просто добавлен ещё один этап проверки.
Где же в ИБ есть место для ИИ?
Там, где последствия возможной ошибки можно контролировать и где ИИ действительно помогает человеку:
анализ большого потока событий и поиск подозрительных отклонений,
поиск нужной информации среди большого количества регламентов и документов,
сбор контекста и первичный анализ алертов,
сопоставление информации из нескольких источников при расследовании инцидента,
автоматизация рутинных действий с понятным и контролируемым результатом.
Такие подходы мы в Ozon Tech уже используем на практике. ИИ помогает нам находить аномальные события в больших потоках данных, ускорять разбор алертов и работать с внутренней документацией.
Для нас ИИ-автоматизация в ИБ полезна там, где машина может быстрее обработать данные, собрать контекст и снять рутину. Человеку остаются задачи, где нужны опыт, контекст и ответственность.
