Sophos сократила время расследования угроз на 96% с OpenAI Daybreak
Как Sophos с помощью OpenAI Daybreak сократила время реакции на киберугрозы с 38 минут до 89 секунд и автоматизировала 52% MDR-кейсов.
Sophos сократила время расследования угроз на 96% с OpenAI Daybreak
Когда счёт идёт на секунды, разница между «38 минут» и «89 секунд» — это разница между успешной атакой и отражённой угрозой. Именно такого результата добилась компания Sophos, внедрив AI-агентов на базе платформы OpenAI Daybreak в свою систему кибербезопасности.
Ключевые результаты
| Показатель | До Daybreak | После Daybreak |
|---|---|---|
| Среднее время реагирования | ~38 минут | ~89 секунд |
| Сокращение времени расследования | — | 96% |
| Доля MDR-кейсов, закрытых ИИ полностью | 0% | 52% |
| Число защищаемых организаций | 625 000+ | 625 000+ |
«Теперь, благодаря агентам, которых мы создали в рамках программы Daybreak, среднее время реагирования на кейсы с их участием сократилось примерно до 89 секунд.»
— представитель Sophos
Что такое OpenAI Daybreak
OpenAI Daybreak — это программа доверенного доступа для специалистов по кибербезопасности (Trusted Access for Cyber), которая позволяет квалифицированным корпоративным клиентам и практикующим специалистам эффективнее использовать модели OpenAI для авторизованных задач в сфере кибербезопасности. Платформа разработана с целью снижения излишних ограничений без потери контроля.
Программа включает три уровня моделей: GPT-5.5 для общего использования, GPT-5.5 с Trusted Access for Cyber для верифицированных защитных рабочих процессов (проверка кода, сортировка уязвимостей, анализ вредоносного ПО, инженерия обнаружений, валидация патчей), и GPT-5.5-Cyber для специализированных задач — таких как авторизованное red-тестирование и пентест.
Daybreak превращает возможности передовых моделей в управляемый стек киберзащиты: граничные модели, фреймворк Codex, Codex Security, доверенные рабочие процессы и партнёры по экосистеме — всё это позволяет защитникам снижать риски быстрее, сохраняя человеческий контроль над критическими действиями.
Как устроена система Sophos Fusion
В центре внедрения находится Sophos Fusion — AI-нативная система киберзащиты, включающая сервис Sophos MDR. Она собирает сенсорные данные более чем из 500 сторонних интеграций вместе с собственными продуктами Sophos. В совокупности эти сенсоры генерируют триллионы событий в день, которые Sophos фильтрует примерно до 1 000–2 000 кейсов для расследования в девяти центрах операций безопасности.
Каждая угроза, выявленная среди более чем 625 000 защищаемых организаций, мгновенно улучшает защиту всех остальных клиентов.
Как работают AI-агенты на базе Daybreak
Внедрение агентов кардинально изменило подход к расследованию кейсов. Вот как выглядит процесс:
graph TD
A[🔍 Триллионы событий\nот 500+ сенсоров] --> B[📋 Фильтрация:\n1 000–2 000 кейсов/день]
B --> C[🤖 Агент расследования\nGathers context, IoC, Threat Intel]
C --> D[🧠 Модель планирования\nPlan → Execute → Review]
D --> E{Решение агента}
E -->|52% кейсов| F[✅ Полностью автоматическое\nзакрытие за ~89 сек]
E -->|48% кейсов| G[👤 Передача аналитику\nдля принятия решения]
G --> H[🛡️ Human Oversight\nКонтроль критических действий]
Агент расследования собирает контекст клиента, обнаружения, индикаторы компрометации (IoC — Indicators of Compromise) и релевантную разведку об угрозах для каждого кейса. Модель планирования создаёт цикл «план → выполнение → проверка»: строит план расследования, выполняет шаги и формирует сводку с рекомендуемыми действиями для аналитиков. Другие агенты могут выполнять части реагирования.
Архитектура уровней доступа Daybreak
| Уровень | Модель | Сценарии использования |
|---|---|---|
| Daybreak Blue | GPT-5.6 Sol | Защитные задачи: проверка кода, сортировка уязвимостей, анализ вредоносов, реагирование на инциденты |
| Daybreak Red | GPT-5.6 Cyber | Авторизованное red-тестирование, разработка PoC-эксплойтов, пентест |
| Стандарт | GPT-5.5 | Общие корпоративные задачи |
От 38 минут до 89 секунд: реальные цифры
До внедрения Daybreak расследование кейса и реагирование зависели прежде всего от человеческой экспертизы. Среднее время обработки составляло около 38 минут — показатель, который превосходил результаты 96% профессиональных центров операций безопасности.
После развёртывания AI-агентов Sophos сократила среднее время реагирования на инциденты с примерно 38 минут до 89 секунд, уменьшила время расследования на 96% и достигла сквозной автоматизации для 52% MDR-кейсов.
Человеческий контроль как основа архитектуры
Один из ключевых принципов всей системы — ИИ не заменяет аналитика, а высвобождает его для действительно важных задач.
Одни и те же ограничения применяются независимо от того, выполняет ли задачу человек или агент. Sophos использует автоматизацию для ускорения работы и более эффективного использования времени аналитиков, однако потенциально деструктивные действия по-прежнему требуют надлежащего уровня человеческого надзора.
Sophos Fusion способна обнаруживать, расследовать и реагировать мгновенно — без ожидания человеческих инструкций. Но делает это в рамках границ, определённых и постоянно калибруемых аналитиками MDR. Это ИИ, который рассуждает о нестандартных ситуациях, при этом люди владеют границей доверия.
В итоге внедрение позволяет Sophos закрывать 52% MDR-кейсов полностью с помощью ИИ в пределах границ, откалиброванных аналитиками, обеспечивает клиентам более быстрый и согласованный опыт расследований, помогает компании масштабировать вычислительные ресурсы вместо наращивания дефицитных кадров в кибербезопасности и возвращает внимание аналитиков к угрозам, исключениям и решениям, где их экспертиза незаменима.
Почему это важно для рынка кибербезопасности
Защитники никогда ещё не располагали такими возможностями — и никогда ещё в них так не нуждались. Граничные модели теперь способны анализировать весь кодовой базы, отслеживать уязвимость до первопричины и предлагать исправление за минуты. Те же возможности доступны злоумышленникам. Именно поэтому окно между раскрытием уязвимости и её эксплуатацией постоянно сужается.
Каждая угроза, выявленная среди более чем 625 000 защищаемых организаций Sophos, возвращается в систему. Новый клиент не начинает с нуля — он наследует опыт борьбы с каждой угрозой, которую система когда-либо видела.
Sophos Fusion: что входит в систему
Sophos Fusion предлагает защиту конечных точек, EDR (Endpoint Detection and Response — обнаружение и реагирование на уровне конечных точек), XDR (Extended Detection and Response — расширенное обнаружение и реагирование), Next-Gen SIEM, ITDR (Identity Threat Detection and Response — обнаружение и реагирование на угрозы идентификации), MDR, сетевую безопасность, защиту электронной почты, облака и консультационные услуги — всё как единую систему защиты.
Выводы
Кейс Sophos × OpenAI Daybreak — наглядная демонстрация того, как AI-агенты меняют операционную логику кибербезопасности. Речь не о замене специалистов: 96-процентное сокращение времени расследования достигается именно за счёт того, что аналитики-люди перестают тратить время на рутину и сосредотачиваются на задачах, требующих суждения и экспертизы.
Для российских компаний с собственными SOC этот опыт представляет практический интерес: архитектурный принцип «agentic autonomy with human judgment» (автономия агента с человеческим суждением) применим к любой системе мониторинга и реагирования на инциденты — вне зависимости от конкретного вендора.