Claude и автономный ИИ-SOC решают разные задачи в центре кибербезопасности
Платформы Claude, Codex и Cursor помогают командам безопасности создавать правила обнаружения, изучать угрозы и готовить отчёты, однако авторы материала Intezer не считают их заменой автономному ИИ-SOC. Анализ более 25 млн оповещений, обработанных в 2025 году, показал: почти 1% подтверждённых инцидентов начинался с сигналов низкой важности или информационного уровня.
Три слоя современной архитектуры SOC
В нижнем слое находятся SIEM, EDR, облачные и почтовые средства защиты, платформы управления идентификацией и другие источники оповещений. Средний слой — автономный ИИ-SOC, который непрерывно расследует сигналы, сопоставляет данные разных инструментов, учитывает контекст организации и определяет, где требуется внимание человека.
Верхний слой образуют универсальные ИИ-платформы. Аналитик может попросить Claude объяснить подозрительную активность PowerShell, обобщить результаты расследования, подготовить правило Sigma или перевести запрос на другой язык. Cursor и Codex также подходят для совместной работы специалистов с кодом и логикой обнаружения.
Такое разделение особенно важно с учётом того, что риски фишинга ИИ-агентов и уязвимостей Claude Code показывает необходимость контролировать не только традиционные инструменты, но и сами ИИ-системы, используемые в операциях безопасности.
Почему массовые расследования требуют другой модели
Для проверки одного сигнала языковой модели нужны телеметрия конечных точек, деревья процессов, журналы аутентификации, история электронной почты, сведения об угрозах, прошлые расследования и внутренние правила. Передача всего этого контекста расходует токены. При тысячах оповещений в сутки организация фактически оплачивает десятки тысяч отдельных диалогов, многие из которых завершаются признанием события безопасным.
Автономный ИИ-SOC вместо нового диалога для каждого сигнала объединяет детерминированные процессы, криминалистический анализ, организационную память, кешированный контекст и выборочное рассуждение языковых моделей. Это позволяет непрерывно проверять весь поток и сохранять предсказуемость затрат.
Ограничения при работе с MDR
Многие компании передают мониторинг поставщику Managed Detection and Response. В таком случае MDR обычно контролирует процесс расследования, систему ведения дел, историю и обогащённую телеметрию, а клиент получает только переданные ему инциденты и периодические отчёты.
Без исходных оповещений, артефактов и исторического контекста Claude не может независимо повторить анализ. Автономный слой рядом с корпоративными средствами защиты способен принимать сигналы по мере поступления, сохранять знания об организации и предоставлять результаты людям и ИИ-платформам.
Практическое разделение задач
Автономной системе следует поручать постоянную сортировку и расследование всех оповещений, включая сигналы низкой важности. После этого Claude и аналогичные платформы можно использовать для вопросов по завершённым расследованиям, доработки правил обнаружения, поиска новых угроз, подготовки сводок и отчётов, проверки гипотез и поддержки решений по сложным случаям.
Для бизнеса вывод состоит не в выборе одного типа ИИ. Масштабируемый автономный слой снимает повторяющуюся нагрузку, а универсальные платформы помогают специалистам анализировать результаты, создавать защитные механизмы и принимать окончательные решения там, где необходимы человеческие опыт и ответственность.