На рынке появились ИИ-модели, которые не генерируют текст, а возвращают структурированное решение: вариант из заданного перечня, оценку или ответ «да/нет» с вероятностью. Для SOC это создаёт возможность автоматизировать первичную сортировку оповещений по заданным порогам, однако точность такого решения по-прежнему зависит от качества входного контекста.
15 сентября TypeSafe AI представила Jev, назвав её моделью «Система 1» — по аналогии с быстрым интуитивным мышлением. OpenAI на DevDay анонсировала Decisions API и 6 октября открыла публичную бета-версию. Cribl опубликовала открытый LoRA-адаптер cribl-decision, рассчитанный на локальный запуск. Аналогичные инструменты, включая Laya, появляются и в открытых наборах разработки.
В отличие от привычных языковых моделей, такие системы получают состояние объекта и набор типизированных вопросов. В настроенном интерфейсе пользователю возвращается предусмотренный схемой ответ и вероятность, а не свободное текстовое обоснование. Это упрощает автоматизацию и последующий аудит, но не делает вывод достоверным сам по себе.
Что меняется в обработке оповещений
Структурированная вероятность позволяет заранее определить правила обработки. Например, модель можно спросить, является ли оповещение безобидным: при оценке выше 0,97 автоматически закрывать его, при значении ниже 0,6 считать вероятным инцидентом и эскалировать, а промежуточные случаи передавать аналитику. Для необратимых действий пороги должны быть строже: отключение учётной записи и добавление комментария в тикет несут разный риск.
Меняется и стоимость последнего этапа процесса — выбора действия по уже собранному контексту. Для Jev заявлены стоимость 42 доллара за миллиард входных токенов и время ответа от 70 до 500 мс. Если принять для расчёта около 5 тыс. входных токенов на оповещение, то при потоке около 450 тыс. оповещений в год стоимость только модельного инференса составит примерно 95 долларов в год, то есть около 100 долларов. Это не полная стоимость обработки: расчёт не учитывает повторные запросы, обогащение контекстом, выходные токены, хранение, сеть и инфраструктуру сбора доказательств. При этих предпосылках прежняя логика, при которой автоматический анализ применяли только к высокосерьёзным срабатываниям, теряет экономическое обоснование.
Ещё одно свойство таких систем — фиксированное пространство ответов. Решение и его вероятность можно сохранить и затем сопоставить с фактическим результатом расследования. Для аудита это проще, чем разбирать сгенерированный абзац с обоснованием. Однако для повторной проверки необходимо сохранять версию модели и LoRA-адаптера, снимок входных данных, схему вопросов и вариантов ответа, конфигурацию запуска и время решения. При изменении этих параметров, подключённого контекста или состояния хоста одинаковый кейс может получить иной вердикт.
При этом заявления о том, что модели этого класса «не галлюцинируют», требуют уточнения. Они означают лишь, что ответ не выйдет за рамки заданной схемы. Формально корректный ответ может быть неверным по существу — например, если модель получила неполные данные о хосте или пользователе.
Калибровка не компенсирует неполные данные
Калиброванная вероятность описывает распределение похожих случаев. Если хорошо откалиброванная модель выдаёт 90%, это означает, что на аналогичных входных данных она оказывается права приблизительно в девяти случаях из десяти. Ключевой вопрос — какие именно признаки попали на вход и действительно ли новый случай сопоставим с историческими.
Если модель видит только заголовок оповещения и его серьёзность, её оценка относится к срабатываниям с такими же заголовком и уровнем серьёзности. Состояние конкретного хоста ей неизвестно. Поэтому даже правильно откалиброванная модель может принять ожидаемое, но ошибочное решение, когда исходный сигнал не отражает реальную ситуацию на устройстве.
В отчёте AI SOC 2026, подготовленном Intezer по данным её клиентской базы за 2025 год, указано 25 млн оповещений, прошедших приоритизацию. Для 82 тыс. из них выполнялось сканирование памяти конечного устройства. Активное заражение было обнаружено примерно на 2,6 тыс. машин, причём 51% заражённых устройств EDR ранее уже отметил как устранённые.
Типичный случай для модели выглядит так: обнаружено вредоносное ПО, объект помещён в карантин, серьёзность низкая. По статистике аналогичные события чаще всего неопасны, и модель с высокой уверенностью закроет такое оповещение. Ошибка в этой ситуации не обязательно будет ошибкой алгоритма: ему просто не передали признаки активной инфекции на хосте.
Та же проблема касается серьёзности как единственного фильтра. По данным того же исследования, почти 1% реальных инцидентов можно проследить до оповещений с самыми низкими уровнями серьёзности. Эта доля относится к подтверждённым инцидентам, а не ко всему потоку в 450 тыс. событий в год: без общего числа подтверждённых инцидентов абсолютное число таких угроз для этого потока рассчитать нельзя.
В описании cribl-decision отдельно отмечается, что модель может демонстрировать избыточную уверенность и быть чувствительной к формулировке запроса и вариантов ответа. Это ограничение важно учитывать не только при работе с конкретным адаптером: фиксированная форма ответа не устраняет влияние контекста и способа постановки вопроса.
Какие данные нужны для вердикта
Оповещение обычно показывает только часть картины. «Подозрительный PowerShell», хеш файла, репутационная оценка или статус «устранено» — это метаданные, которых недостаточно для уверенного закрытия либо эскалации. Для решения нужны факты, которые обычно собирает специалист по реагированию на инциденты.
Вместо общего сигнала о PowerShell расследованию требуется дерево процессов, родительский процесс, полная командная строка и скрипт на диске. Вместо одного хеша и репутации — сведения о поведении файла: сетевых соединениях, созданных или сохранённых файлах, действиях после запуска. Вместо статуса EDR «устранено» — данные сканирования памяти в реальном времени, способные показать внедрённый код или безфайловую полезную нагрузку. Для оценки активности учётной записи важны не только имя пользователя, но и место входа, устройство и типичность такого поведения для конкретного человека.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Особое значение имеет проверка памяти. Среди наиболее распространённых семейств и инструментов, обнаруженных в памяти за прошлый год, назывались Mimikatz, Meterpreter и Cobalt Strike. Они рассчитаны на работу в памяти, поэтому карантин файлов не обязательно влияет на уже запущенный код.
Такие доказательства не являются экзотическими: их вручную собирает квалифицированный специалист по реагированию. Техническая задача состоит в том, чтобы автоматически получить их для каждого оповещения менее чем за минуту, прежде чем вердикт вынесет человек или ИИ-модель.
Почему нормальное поведение сложнее описать
Криминалистические данные отвечают на вопрос, что произошло на устройстве, но не всегда объясняют, нормально ли это именно для конкретной компании. Наиболее заметно это в оповещениях, связанных с идентификацией.
Согласно данным за 2025 год из отчёта AI SOC 2026, 74% таких оповещений были признаны вероятно безобидными. Оповещения о невозможных поездках подтверждались как реальные компрометации примерно в 2% случаев; около 30% таких срабатываний были вызваны только использованием VPN. Модель не узнает из общих данных, что сотрудник финансового отдела регулярно входит из Португалии, либо что срабатывание CrowdStrike на серверах сборки возникает при каждом новом релизе DevOps-команды.
Подобное знание часто существует только в опыте наиболее квалифицированных аналитиков и может быть утрачено с их уходом. Организационный контекст нельзя приобрести как готовый набор данных: он специфичен для конкретной инфраструктуры. Он также быстро устаревает, поскольку каждую неделю меняются активы, пользователи и применяемые инструменты. Снимок среды, сделанный при внедрении процесса, уже через квартал может оказаться неактуальным.
Поэтому сведения о нормальном поведении должны поддерживаться как непрерывный цикл. Организации следует извлекать знания из прошлых расследований и решений аналитиков, получать дополнительный актуальный контекст в ходе проверки, если существующих сведений недостаточно, а затем сопоставлять каждый вердикт с реальным исходом и фиксировать выводы. Последний этап нужен и для контроля калибровки: заявленные 90% должны означать 90% именно в конкретной среде, а не только в чужом тестировании.
Подход, основанный на доказательствах
Практический принцип для автоматизированной сортировки — сначала собрать доказательства, затем принимать решение. В качестве полезных источников рассматриваются сопоставление исполняемого в памяти двоичного кода с базой доверенного и вредоносного кода, анализ памяти при признаках безфайловой атаки или внедрения кода, выполнение подозрительных файлов в песочнице, а также проверка URL, доменов и IP-адресов по наблюдаемому поведению.
В описанном Intezer подходе при недостатке данных либо признаках внедрения кода на хосте запускается отдельный исполняемый сканер без установки. Он собирает деревья процессов, исполняемые файлы, загруженные в память, дампы памяти в точках предполагаемого внедрения, а также файлы, связанные с планировщиком заданий и механизмами автозапуска. Именно такие проверки, по заявлению компании, позволили выявить заражённые устройства, которые EDR ранее отметил как устранённые.
Организационная память в этой схеме включает два типа сведений. Процедурные данные описывают, как команда проводит расследования и какие типы срабатываний сразу отклоняет. Декларативные содержат информацию об активах, пользователях, характерном поведении и структуре схемы SIEM. Эти сведения должны пополняться историей кейсов, использоваться при расследовании и обновляться по его итогам.
Компания заявила, что в 2025 году таким образом обработала более 25 млн оповещений всех уровней серьёзности: менее 2% были переданы человеку, точность выводов составила 98%, а медианное время сортировки — менее минуты. Эти показатели являются заявлением организации и относятся к её данным, инструментам и процессам; переносить их на другую инфраструктуру без собственной проверки нельзя.
Значительная часть такого анализа детерминирована: это криминалистические проверки, а не обязательный запуск крупной модели для каждого сигнала. По этой причине их стоимость может быть ниже, чем у обработки всех событий большой языковой моделью. Модели принятия решений удешевляют именно последний этап — выбор следующего действия, но не заменяют сбор и проверку фактов.
Что учитывать при автоматизации в российской организации
Модели будут обновляться быстро, а доступ к их новым версиям одновременно получают и защитники, и злоумышленники. Наиболее устойчивой частью процесса остаётся контекст, который организация собирает о собственной инфраструктуре и проверяет на реальных расследованиях.
При автоматизации сортировки оповещений имеет смысл сосредоточиться на четырёх задачах:
- Собирать доказательства до вынесения вердикта. Деревья процессов, результаты проверок и содержимое памяти информативнее одних только метаданных оповещения.
- Не использовать серьёзность как единственный критерий, определяющий необходимость расследования. Снижение стоимости принятия решений убирает экономическое обоснование для полного игнорирования низкоприоритетных событий.
- Вести знания об организации как постоянно обновляемую систему: учитывать активы, пользователей, их обычное поведение и изменения среды.
- Проверять калибровку в собственной инфраструктуре. Каждый автоматический вывод нужно связывать с подтверждённым результатом и отслеживать отклонения.
Модели принятия решений могут сделать финальный выбор быстрым, недорогим и удобным для аудита. Однако достоверность этого выбора зависит от того, какие данные собраны до него и насколько хорошо организация умеет отличать реальную аномалию от собственного нормального поведения.