Databricks nasadil 17 špecializovaných agentov na triedenie bezpečnostných alertov

Databricks zverejnil praktický príklad toho, ako môžu špecializovaní AI agenti pomáhať bezpečnostným tímom mimo demonštračných chatbotov. Interný tím Databricks Security podľa blogu nasadil 17 agentov na triedenie tisícov nízkorizikových upozornení v reálnom čase. Firma uvádza, že výsledkom bolo desaťnásobné zvýšenie skutočne pozitívnych nálezov a viac než 6 500 ušetrených hodín za 30 dní. Aj keď ide o firemný blog a čísla treba čítať ako prípadovú štúdiu, téma je dôležitá: bezpečnostná prevádzka je jednou z oblastí, kde množstvo signálov dávno prerástlo ľudskú kapacitu.

Kľúčové je slovo špecializovaní. Databricks nehovorí o jednom všeobecnom agentovi, ktorý vyrieši celé bezpečnostné centrum. Opisuje flotilu agentov, z ktorých každý má úzko vymedzenú úlohu pri triedení alertov. Takýto dizajn je realistickejší než predstava univerzálneho autonómneho analytika. Bezpečnostné upozornenia majú rôzne zdroje, rôzne dôkazy, rôzne úrovne rizika a často vyžadujú odlišné pravidlá eskalácie. Menší agent s jasnou zodpovednosťou sa ľahšie testuje, monitoruje aj vypína.

Pre Databricks je vlastná platforma prirodzeným miestom na takýto systém, pretože bezpečnostné vyšetrovanie je dátový problém. Alert nie je iba textová správa; často sa viaže na logy, identitu používateľa, históriu prístupov, sieťové udalosti, konfiguračné zmeny a predchádzajúce incidenty. Ak agent dokáže tieto zdroje zjednotiť, vytiahnuť relevantné kontextové signály a pripraviť odporúčanie, človek nemusí začínať každé vyšetrovanie od nuly.

Dôležitým prísľubom je triedenie nízkorizikových alertov. Práve tie vo veľkých organizáciách vytvárajú únavu z upozornení: väčšina sa ukáže ako neškodná, no analytik musí aj tak stráviť čas overovaním. AI agenti môžu byť užitoční tam, kde je potrebné rýchlo zhromaždiť dôkazy, porovnať správanie s bežným profilom a rozhodnúť, či alert zaslúži eskaláciu. Zároveň by však nemali fungovať ako čierna skrinka, ktorá potichu zahadzuje upozornenia bez auditu.

Blog Databricks je zaujímavý aj tým, že kladie agentov do produkčného bezpečnostného procesu, nie do samostatného experimentu. To znamená, že okolo nich musia existovať metriky presnosti, spätná väzba od analytikov, kontrola promptov alebo nástrojov a jasná zodpovednosť za rozhodnutie. V bezpečnosti nestačí, že agent ušetrí čas. Musí byť zrejmé, kedy sa mýli, aké dôkazy použil a či jeho odporúčania nezvyšujú riziko prehliadnutia reálneho útoku.

Údaj o desaťnásobnom náraste true positives treba interpretovať opatrne. Môže znamenať lepší pomer užitočných eskalácií, lepšie pokrytie alertov alebo presnejšie triedenie konkrétnej triedy upozornení. Bez metodiky a základnej hodnoty nejde o univerzálny benchmark. Napriek tomu je signál dôležitý: firmy už nehľadajú iba chatboty pre bezpečnostné tímy, ale systémy, ktoré sa zapájajú do každodennej alertovej ekonomiky a menia rozdelenie práce medzi strojom a analytikom.

Pre širší trh je to ďalší dôkaz, že agentické systémy sa budú presadzovať najprv v procesoch s veľkým objemom opakovateľnej práce, jasnými dátovými stopami a možnosťou ľudskej kontroly. Bezpečnostné alerty tieto podmienky spĺňajú. Každý alert má vstupy, rozhodovací strom, výsledok a spätnú väzbu. Ak je systém navrhnutý správne, dá sa priebežne merať, či agent šetrí čas bez toho, aby zvyšoval počet zmeškaných incidentov.

Zároveň platí, že automatizácia triedenia alertov môže vytvoriť nové slepé miesta. Útočníci sa môžu naučiť, aké signály agent považuje za nízke riziko, alebo môže model preberať historické predsudky bezpečnostného procesu. Ak sa v minulosti niektoré typy incidentov podceňovali, agent trénovaný na podobnej spätnej väzbe ich môže podceňovať ďalej. Preto by podobné nasadenia mali obsahovať pravidelné červené tímovanie, náhodné audity zahodených alertov a meranie výkonnosti podľa rôznych tried útokov.

Pre slovenské bezpečnostné a IT tímy je praktická lekcia jasná. AI agenti nemusia začínať ako autonómni správcovia incidentov. Zmysluplnejší prvý krok môže byť úzko vymedzený agent, ktorý zhromažďuje kontext k jednej triede alertov a pripravuje odôvodnené odporúčanie pre človeka. Takýto systém je menej efektný než vízia plne automatického SOC, ale pravdepodobne lepšie zapadne do reálnej prevádzky, auditu a zodpovednosti. Databricks týmto príkladom ukazuje, že hodnota agentov v enterprise prostredí sa bude merať najmä tým, koľko kvalitnej práce odoberú z preťažených frontov, nie tým, koľko autonómie sľúbia v prezentácii.