Vượt qua agentic: vì sao SOC tự hành phải rẻ dần khi học

“SOC agentic” thường có nghĩa là gì

Phần lớn công cụ SOC agentic theo cùng một khuôn. Một alert đến. Một model đa năng cỡ lớn, thường là frontier model do bên thứ ba vận hành, nhận alert cùng danh sách công cụ được phép gọi: tìm trong SIEM, tra một địa chỉ IP, truy vấn EDR, xem các lần đăng nhập gần đây của một người dùng. Model chọn công cụ để gọi, đọc kết quả, quyết định lần gọi tiếp theo, và lặp lại cho tới khi sẵn sàng viết tóm tắt hay kết luận.

Đây là cải tiến thật so với một chat copilot. Model làm một phần cuộc điều tra thay vì chỉ mô tả alert. Nhưng kiến trúc này kéo theo những hệ quả chỉ lộ ra ở quy mô SOC, qua nhiều tháng chứ không phải trong một buổi demo.

Bạn trả tiền hai lần

Chi phí nhìn thấy được của SOC agentic là hoá đơn model: token vào và token ra cho từng bước của từng cuộc điều tra. Chi phí ít thấy hơn là mọi thứ cần để chạy agent ổn định ở quy mô lớn: năng lực suy luận, thuê trên cloud hay chạy trên GPU của bạn, cộng thêm orchestration để quản lý nhiều lượt agent đồng thời, và giám sát để bắt các vòng lặp, lỗi và chi tiêu vượt kiểm soát.

Cả hai khoản đều bám theo số alert. Thêm nguồn dữ liệu, thêm khách hàng với một nhà cung cấp dịch vụ, hay một tuần nhiều nhiễu đều đồng nghĩa với thêm lượt agent. Đường chi phí đi lên cùng doanh nghiệp, ngược với điều tự động hoá lẽ ra phải làm. Một đội dùng công cụ agentic để tiết kiệm thời gian analyst có thể thấy mình đang quản lý một ngân sách thứ hai tăng nhanh không kém ngân sách đầu.

Agent hiếm khi học được môi trường của bạn

Hạn chế quan trọng nhất không phải chi phí. Đó là phần lớn lượt chạy agent gần như bắt đầu lại từ đầu. Agent hôm qua điều tra một job backup không nhớ rằng job đó chạy mỗi đêm trên máy chủ ấy. Bài học analyst đưa ra khi sửa một kết luận không trở thành thay đổi lâu dài. Chỉ dẫn trong prompt và ghi chú được truy xuất có giúp, nhưng không giống một hệ thống đã cải thiện được kiểm chứng trên dữ liệu của bạn.

Một đội bảo mật giỏi lên theo thời gian vì tích luỹ kinh nghiệm về chính môi trường của mình. Một lớp tự động hoá không tích luỹ kinh nghiệm sẽ lặp lại cùng sai lầm với cùng chi phí, bất kể model bên dưới mạnh đến đâu.

Tự hành bền vững trông như thế nào

Tự hành bền vững có một đường chi phí khác. Công việc thường ngày, vốn chiếm phần lớn khối lượng của SOC, được xử lý bởi các model gọn, chuyên biệt cho từng tác vụ và thích ứng với môi trường khách hàng, chạy trên hạ tầng của chính khách hàng. Suy luận của model lớn vẫn hữu ích cho những ca khó hiếm gặp, nhưng trở thành nguồn lực thỉnh thoảng mới dùng, có chính sách kiểm soát, thay vì là động cơ đằng sau mọi alert, và phần nó đóng góp được chuyển thành năng lực cục bộ.

Việc học phải nằm trong vòng lặp. Khi một case được chốt, bởi con người hay bởi bằng chứng, kết quả phải làm case tương tự kế tiếp nhanh hơn và chính xác hơn. Cải tiến cần được kiểm chứng trước khi được tin dùng, và hệ thống phải chứng minh được rằng nó không kém đi trong việc bắt tấn công thật trong khi giỏi hơn ở việc đóng nhiễu.

Niềm tin được giành từng bước. Một SOC biết học làm việc song song với analyst trước, kết luận của nó được so với của họ, và quyền tự hành được mở rộng từng năng lực một khi bằng chứng cho phép. Phản ứng vẫn theo hướng đề xuất trước: một người duyệt từng hành động, và mọi bước đều được ghi lại.

Hướng đi của ApexAI

ApexAI được xây trên quan điểm này. Model mặc định chạy cục bộ, việc dùng model lớn bên ngoài là tuỳ chọn và do chính sách của bạn quyết định, và hệ thống liên tục học từ các case đã chốt của chính bạn. Kết quả chúng tôi hướng tới là một SOC tự hành có chi phí không tăng tuyến tính theo token và chất lượng tốt lên khi chạy càng lâu. Trang Vì sao ApexAI trình bày bức tranh rộng hơn và câu trả lời của chúng tôi.

Câu hỏi thường gặp