Elastic, agentic AI hattının uyarı triage doğruluğunu yüzde 60'tan yüzde 92'ye çıkardığını bildirdi

Elastic'ın bildirdikleri

Elastic'ın iç InfoSec ekibi, basit AI özetlerini kendi araçları üzerine inşa edilmiş agentic bir hatla değiştirerek güvenlik uyarısı triage doğruluğunu yüzde 60'tan yüzde 92'ye çıkardığını bildiriyor. dev.to'da yayımlanan bir yazıda ekip, Security Operations Center'ının bir dil modelinin ham uyarıları not etmesinden, uzmanlaşmış ajanların uyarıları insan bir analistin isteyeceği aynı arka plan malzemesiyle incelemesiyle sonuçlanan bir sisteme nasıl geçtiğini anlatıyor.

Bu sayı dikkat çekici çünkü güvenlik operasyonlarında agentic AI genellikle hayali terimlerle tartışılıyor ve bu, canlı bir SOC'den somut bir öncesi-sonrası ölçümü. Baştan belirtilmesi gereken bir uyarı var: Bunu Elastic, Elastic ürünleri ve Elastic'ın kendi ekibi hakkında raporluyor; yani bu bağımsız bir değerlendirme değil, kendi bildirdiği bir rakam.

Senkron bir hatta üç ajan

Elastic Workflows ve Agent Builder ile oluşturulan hat, işi üç ajan arasında bölüyor:

• Pattern Finder, inceleme başlamadan önce yinelenen eğilimleri ortaya çıkarmak amacıyla geçmiş vakaları ve önceki analist geri bildirimlerini inceliyor.
• L1 Investigation, uyarıya karşı odaklanmış bir dizi harici sorgulama çalıştırıyor ve bir karara ulaşmaya çalışıyor.
• Summarizer, sonucu Slack ve Kibana için biçimlendirilmiş bir rapora dönüştürüyor.

Üçü, serbest çalışan otonom ajanlar olarak değil, senkron şekilde çalışıyor. Yazıya göre bu tasarım tercihi token maliyetlerini düşürüyor ve bir uyarının gelmesiyle bitmiş bir raporun hazır olması arasındaki süreyi kısaltıyor.

Sadece model çıktısı değil, bağlam

Ekip, doğruluk kazanımının çoğunu model seçimine değil, grounding'e bağlıyor. Ajanlar geçmiş vaka kayıtlarını, ekibin iç inceleme kılavuzlarını ve Workday'de tutulan kullanıcı risk verilerini alıyor — uyarının kendisinin dışında yaşayan ve genel amaçlı bir özetleyicinin asla göremeyeceği türden kurumsal bilgi.

Bu grounding olmadan ekip, AI tarafından yazılan özetleri analistlerin doğrulayamayacağı, açıkça "slop" dediği güvenilmeyen malzeme olarak tanımlıyor. Grounding ile ise çıktı, analistlerin kontrol edip harekete geçebileceği bir istihbarata dönüşüyor. Bu ayrım, insanların katlandığı bir AI özelliği ile bir olay sırasında gerçekten güvendiği bir özellik arasındaki farktır.

Mevcut iş akışlarının içinde teslim edilen sonuçlar

Raporlar analistlerin zaten çalıştığı yerde ortaya çıkıyor. Özetler Slack ve Kibana'da görünüyor ve hattın akıl yürütmesi şeffaf olduğu için ekip, analistlerin çoğu zaman vakayı kendileri yeniden incelemek yerine tek tıkla çözebildiğini söylüyor.

Her analist kararı da sisteme geri akıyor. Yazı, bu geri bildirim döngüsünü tasarımın merkezi olarak tanımlıyor; çünkü ajanların nerede yanıldığını ortaya çıkarıyor ve ekibe, dağıtımı bitiş çizgisi olarak görmek yerine modelleri ve iş akışını zamanla iyileştirmeye devam etme yolu veriyor.

Neden önemli

Bu vakayı rutin bir satıcı vaka çalışmasından öne çıkaran iki şey var. Birincisi, güvenlik operasyonlarında agentic AI için nicelleştirilmiş, gerçek dünyadan bir veri noktası olması — bu alanda konferans demoları ile üretim güvenilirliği arasındaki boşluk bilinen şekilde geniştir. İkincisi, kazanımların gerçekten nereden geldiğine işaret etmesi: daha akıllı bir temel modelden değil, bağlam mühendisliğinden. Geçmiş vakalar, yazılı inceleme kılavuzları ve İK'ya yakın risk verileri, aynı sınıf modeli bir özetleyiciden bir araştırmacıya daha yakın bir şeye dönüştürdü.

Agentic araçları değerlendiren güvenlik ekipleri için pratik ders şu: zor olan kısım prompt ayarı değil, tesisat — ajanları kuruluşun kendi bilgisiyle bağlamak. İddiayı değerlendiren okurlar için ise sağlıklı tutum, yüzde 92'yi Elastic'ın kendi yığınıyla olan deneyimi olarak görmek: cesaret veren, somut ve övücü rakamlar yayımlama motivasyonu olmayan ekipler tarafından tekrarlanmayı bekleyen.