Мировой рынок кибербезопасности делит задачи между ИИ и аналитиками

3 августа 2026 года издание The Hacker News опубликовало материал о роли Claude, Codex и Cursor в работе центров мониторинга безопасности. Статья посвящена проблеме FOMO — страху компаний отстать от внедрения искусственного интеллекта, — и объясняет, почему универсальная модель не может заменить всю инфраструктуру SOC.

Авторы предлагают разделить систему на три уровня. Первый образуют SIEM, EDR, облачные и почтовые средства защиты, а также платформы управления идентификацией, которые формируют поток событий. Второй занимает автономный ИИ-SOC: он непрерывно получает сигналы, сопоставляет данные из разных источников, учитывает контекст организации и определяет, какие случаи требуют участия человека. На третьем уровне работают Claude, Cursor и Codex — инструменты для аналитиков, инженеров обнаружения и специалистов по реагированию.

Ключевой вывод материала заключается в том, что платформы вроде Claude лучше подходят для работы по запросу. Аналитик может попросить модель объяснить подозрительную активность PowerShell, составить правило Sigma, перевести детектирование на другой язык запросов, подготовить отчет или сформулировать гипотезу для поиска угроз. Однако расследование тысяч предупреждений в сутки требует постоянного доступа к телеметрии, памяти предыдущих дел и интеграции с корпоративными системами.

Отдельно авторы рассматривают экономику такой схемы. Для каждого расследования языковой модели нужны журналы конечных устройств, цепочки процессов, сведения об аутентификации, история электронной почты, данные о ранее рассмотренных инцидентах и информация об организации. При обработке каждого сигнала с нуля объем контекста и расходы на вычисления растут вместе с числом предупреждений. Поэтому автономный ИИ-SOC должен сочетать детерминированные сценарии, криминалистический анализ, кэшированный контекст и выборочное применение языковой модели.

В статье также описана проблема компаний, которые передают мониторинг внешнему MDR-провайдеру. Такой подрядчик обычно хранит исходные события, обогащенную телеметрию, историю расследований и материалы дел внутри собственной платформы. Клиент получает в основном эскалированные инциденты и периодические отчеты, поэтому отдельный ИИ-инструмент не может полноценно анализировать данные, к которым у него нет доступа.

Авторы ссылаются на исследование Intezer, охватившее более 25 млн предупреждений, обработанных в 2025 году. По данным этого исследования, почти 1% подтвержденных инцидентов начинался с событий низкой степени опасности или информационных сигналов. Это ставит под сомнение практику, при которой команды сосредотачиваются только на предупреждениях с наивысшим уровнем серьезности.

Подход, при котором ИИ сначала отбирает и расследует поток событий, а человек принимает решения по сложным случаям, уже используется на практике. 12 мая 2026 года Anthropic рассказала о собственной команде Detection Platform Engineering, применяющей Claude Code для автоматизации первичного анализа предупреждений и ускорения расследований. Компания также указала на необходимость сохранять проверяемую историю действий модели.

При этом отраслевые эксперты не считают полностью автономный SOC готовой заменой специалистам. TechRadar Pro отмечал, что внедрение агентного ИИ требует прозрачных промежуточных результатов, аудируемых журналов и понятного распределения ответственности; роль человека смещается к надзору, оценке контекста и контролю исключений.

The Hacker News уточняет, что материал подготовлен как партнерская публикация, а его выводы отражают позицию Intezer, а не независимое редакционное расследование. Практический смысл предложенной модели — не выбор между Claude и автономной платформой, а их совместное использование: ИИ-SOC обрабатывает масштабный поток сигналов, а аналитики применяют языковые модели для анализа, подготовки решений и совершенствования средств защиты.