Swimlane punta a colmare una lacuna critica nella sicurezza automatizzata: la possibilità di indagare su avvisi che non sono mai stati generati. Con le nuove funzionalità di Turbine, i clienti possono definire i propri rilevamenti nella piattaforma, applicare la logica organizzativa ai dati operativi e inviare gli avvisi risultanti direttamente a Swimlane AI SOC.
Rilevamenti personalizzati basati sull’IA
Molti prodotti AI SOC si concentrano sul triage, sull’indagine e sulla risposta dopo che un sistema di rilevamento ha individuato un comportamento sospetto. Questa separazione diventa problematica quando le organizzazioni implementano rapidamente nuovi agenti, copiloti, modelli locali e server MCP, più velocemente di quanto i prodotti di rilevamento consolidati riescano ad adeguarsi.
Le nuove funzionalità di Turbine consentono ai team di eseguire la propria logica di rilevamento sui dati disponibili nella piattaforma. Una singola azione sui big data può valutare decine di migliaia di record su nodi di calcolo paralleli, per poi inoltrare un avviso ad AI SOC affinché venga indagato e gestito secondo le procedure previste.
Questa architettura avvicina la logica di rilevamento all’automazione che interviene sulla base dei risultati. Invece di individuare separatamente una condizione e predisporre manualmente i passaggi successivi, un team può collegare una regola specifica della propria organizzazione a un flusso di lavoro investigativo già esistente.
Creazione assistita delle regole
Il rilascio descrive anche la generazione assistita dall’IA delle regole di rilevamento. I team possono spiegare quale rilevamento desiderano realizzare e avvalersi delle funzionalità di Turbine per generare playbook, contribuendo alla loro creazione. Generare la logica e accertarsi che individui in modo affidabile il comportamento desiderato rimangono attività distinte: le regole devono rispecchiare i dati, le autorizzazioni e le condizioni dell’ambiente in cui vengono eseguite.
Indagine su sistemi IA come fonti di incidenti (AIDR)
Swimlane descrive questi scenari come rilevamento e risposta basati sull’IA (AIDR), dove il sistema di IA stesso diventa oggetto dell’incidente. È diverso dal semplice utilizzo di un modello di IA per riassumere un avviso di phishing o relativo a un endpoint.
Un esempio è la prompt injection, in cui un agente può imbattersi in istruzioni incorporate nei contenuti che sta elaborando, rischiando che materiale esterno ne influenzi il comportamento. Per un’indagine efficace può essere necessario esaminare gli input dell’agente, le attività svolte con gli strumenti e le azioni risultanti, anziché cercare soltanto un indicatore di malware noto.
Allo stesso modo, un’impennata imprevista delle spese potrebbe segnalare un agente malfunzionante o indirizzato in modo errato, senza assomigliare a un’intrusione tradizionale. La logica definita dal cliente consente ai team di indicare ciò che è anomalo nella propria implementazione, a condizione che siano disponibili i segnali necessari relativi all’utilizzo e alle operazioni.
Limiti e obiettivi della capacità di elaborazione
La capacità di elaborazione annunciata è una specifica dell’azienda, non un benchmark pubblico per rilevare ogni forma di prompt injection o uso non autorizzato dell’IA. Il cambiamento concreto consiste nel fornire ai team un ulteriore modo per trasformare le proprie osservazioni in casi su cui intervenire, accanto agli avvisi generati dai prodotti di sicurezza consolidati.
Supporto bidirezionale al Model Context Protocol (MCP)
MCP fornisce un’interfaccia comune tramite la quale le applicazioni di IA possono utilizzare strumenti. Il rilascio di ottobre di Swimlane supporta entrambi i lati di questa connessione.
In qualità di host MCP, Turbine consente a Hero AI di connettersi a server MCP di terze parti e di usare i relativi strumenti durante le indagini e l’esecuzione dei playbook, con autenticazione e controlli degli accessi centralizzati. Un flusso di lavoro di sicurezza può quindi utilizzare una funzionalità esterna compatibile con MCP insieme alle integrazioni API già in uso.
In qualità di server MCP, Turbine mette l’automazione soggetta a controlli a disposizione di client di IA esterni. L’annuncio cita Claude, ChatGPT, Cursor, Gemini CLI e Microsoft Copilot come esempi di client che possono richiamare componenti di Turbine, compresi playbook in più fasi, nell’ambito dei controlli di accesso basati sui ruoli già esistenti.
Vantaggi della doppia connessione
La distinzione è significativa. Nel primo caso, l’agente di Swimlane si collega a un altro sistema. Nel secondo, un assistente esterno può avviare un flusso di lavoro Turbine approvato. Collegare un assistente a un playbook già collaudato consente a un’azienda di riutilizzare le automazioni e le autorizzazioni esistenti, invece di ricreare il processo operativo all’interno di ciascun client di IA.
Swimlane afferma che Turbine può combinare gli strumenti MCP con le API tradizionali, rendendo la novità rilevante negli ambienti in cui solo alcuni sistemi supportano MCP. I team possono integrare il protocollo in un flusso di lavoro più ampio senza dover modificare subito tutte le integrazioni esistenti.
Hero AI Application Builder Agent e revisione umana
Hero AI Application Builder Agent risponde a un’altra esigenza operativa: configurare le strutture dei record, i layout e i flussi di lavoro richiesti da un nuovo caso d’uso di sicurezza. Gli utenti descrivono in linguaggio naturale ciò di cui hanno bisogno e l’agente crea o modifica l’applicazione corrispondente.
Le modifiche generate non vengono salvate finché una persona non le ha esaminate. Le modifiche vengono evidenziate e gli utenti possono accettarle o rifiutarle prima che diventino definitive. Questo passaggio di approvazione è importante perché la struttura di un’applicazione può influire sul modo in cui gli analisti acquisiscono le prove, fanno avanzare i casi tra le varie fasi e attuano una risposta.
Il nuovo agente amplia il portafoglio più ampio di Hero AI. I materiali di prodotto di Swimlane descrivono agenti già disponibili per:
- l’acquisizione dei dati
- la generazione di playbook
- le visualizzazioni e le indagini
- la possibilità di selezionare modelli per i singoli agenti
Con la creazione di applicazioni tramite AI, le organizzazioni possono accelerare la messa in opera di nuovi flussi di lavoro di sicurezza, mantenendo al contempo un controllo rigoroso sulla configurazione finale.
Impatto complessivo e prospettive future
Swimlane afferma che le funzionalità sono disponibili a livello generale e le presenta come aggiunte all’infrastruttura di sicurezza esistente, inclusi SIEM, soluzioni EDR e strumenti di sicurezza cloud. Dare ai team di sicurezza il controllo su ciò che genera un avviso consente di colmare il divario tra rilevamento e risposta automatizzata.
Come ha sottolineato Cody Cornell, cofondatore e CEO di Swimlane, “negli ultimi due anni il settore della sicurezza si è interrogato a lungo su quanto l’IA possa gestire autonomamente un avviso, ma così si trascura una domanda più fondamentale: da dove proviene l’avviso?” Le nuove capacità di Turbine mirano proprio a rispondere a questa domanda, offrendo un approccio più integrato e personalizzabile alla sicurezza basata sull’IA.