Sophos: AI agent rút thời gian điều tra threat từ 38 phút xuống 89 giây

Bài viết này do AI tạo ra, có thể mắc sai sót.

OpenAI cho biết Sophos đã dùng các agent xây dựng qua chương trình Daybreak để rút thời gian phản hồi trung bình cho các case dùng agent từ khoảng 38 phút xuống 89 giây. Con số gây chú ý, nhưng thông điệp quan trọng hơn là cách đưa agent vào SOC: ghép với threat intelligence, playbook và các ranh giới phê duyệt có sẵn thay vì trao toàn quyền xử lý cho mô hình.

Tóm tắt nhanh

🔹 Sophos báo cáo thời gian xử lý case dùng agent giảm từ khoảng 38 phút xuống 89 giây.
🔹 52% case MDR được giải quyết end-to-end bằng AI, trong ranh giới do analyst thiết lập.
🔹 Hệ thống Fusion tổng hợp dữ liệu từ hơn 500 integration, lọc hàng nghìn tỷ event mỗi ngày thành khoảng 1.000–2.000 case cho chín SOC điều tra.
🔹 Ba chế độ Notify, Collaborate và Authorise giữ quyền hành động phù hợp với từng khách hàng và loại tác vụ.

Luồng agent trong SOC hoạt động ra sao?

Theo OpenAI, agent điều tra tập hợp ngữ cảnh khách hàng, detection, chỉ dấu xâm nhập và threat intelligence cho từng case. Một planning model sau đó tạo vòng lặp lập kế hoạch, thực hiện, rà soát và tóm tắt hành động khuyến nghị để analyst đánh giá. Một số agent khác có thể thực hiện từng phần phản hồi trong phạm vi cho phép.

Thiết kế này khác chatbot tổng quát: giá trị nằm ở việc nối dữ liệu vận hành với playbook và quy trình review. Agent không chỉ trả lời câu hỏi mà phải để lại bằng chứng, mô tả bước đã làm và hành động đề xuất đủ để analyst truy vết.

89 giây không có nghĩa mọi phản hồi được tự động hoá

Sophos vận hành ba mức kiểm soát. Notify chỉ điều tra và đề xuất; Collaborate yêu cầu Sophos cùng khách hàng quyết định; Authorise cho phép phản hồi trực tiếp thay mặt khách hàng. Ranh giới này áp dụng cho cả người lẫn agent. Các hành động có thể phá huỷ vẫn cần mức giám sát phù hợp.

Đây là caveat cần giữ khi đọc số liệu hiệu năng. 89 giây là trung bình cho các case dùng agent, không phải cam kết rằng mọi incident đều có thể đóng trong thời gian đó. Case phức tạp, ảnh hưởng production hoặc thiếu telemetry vẫn phải được người điều tra kỹ.

Bài học cho đội SOC

Bắt đầu từ case lặp lại: enrichment, triage và tóm tắt bằng chứng thường phù hợp hơn remediation đặc quyền cao.
Giữ evidence trail: lưu input, nguồn threat intelligence, quyết định và output để kiểm toán.
Phân quyền theo hành động: tách quyền đọc, đề xuất, ticket và containment; không cấp một token toàn năng cho agent.
Đo chất lượng cùng tốc độ: theo dõi false positive, escalation, rollback và kết quả sau remediation, không chỉ MTTR.

Phân tích

Agent hữu ích nhất khi có quy trình để khuếch đại

Số case lớn khiến SOC dễ nghẽn ở khâu tập hợp ngữ cảnh. Agent có thể làm nhanh phần truy xuất và chuẩn bị, để analyst tập trung vào quyết định, ngoại lệ và những mối đe doạ mới. Nếu playbook và asset context yếu, tự động hóa chỉ làm sai nhanh hơn.

Human-in-the-loop là kiểm soát kỹ thuật

Ba chế độ vận hành cho thấy human oversight không chỉ là khẩu hiệu. Đó là mapping cụ thể giữa mức tin cậy, quyền tác động và trách nhiệm với khách hàng. Mô hình này nên được áp dụng trước khi agent có quyền cô lập endpoint, sửa policy hoặc chặn traffic.

Cần so sánh công bằng các chỉ số

Case dùng agent có thể khác case không dùng agent về độ khó. Do đó đội bảo mật nên tự đo theo loại alert, mức tự động hóa và outcome, đồng thời kiểm tra định kỳ chất lượng điều tra thay vì sao chép nguyên số liệu của vendor.

Vì sao đáng chú ý?

Case study của Sophos minh hoạ cách AI agent có thể thay đổi tốc độ điều tra an ninh khi được gắn vào telemetry và playbook thật. Nó cũng nhắc rõ điều kiện thành công: phạm vi quyền hẹp, evidence có thể kiểm tra và con người giữ quyền phán đoán với hành động rủi ro.