Vega: агенты в центре кибербезопасности возвращают аналитикам 67% времени
Стартап Vega построил платформу агентной киберзащиты, где Claude рассуждает над обнаружением, сортировкой и расследованием инцидентов прямо на данных безопасности. По данным компании, расследования идут до 44 раз быстрее и на 82% дешевле, чем у традиционных систем SIEM, а аналитики получают назад около 67% времени.
Результат
Сортировка тревоги в крупной компании с 25 минут до менее чем 3; расследования до 44 раз быстрее и до 82% дешевле SIEM; около 67% времени инженеров киберзащиты возвращено
Задача
В большинстве крупных компаний данные о безопасности разбросаны по десяткам инструментов и облаков. В теории их можно загрузить в систему управления событиями безопасности (SIEM), но на масштабе предприятия это сложно и непозволительно дорого. Поэтому команды загружают только то, что могут себе позволить, а остальное становится слепой зоной.
Для ИИ-агентов это ещё острее: они эффективны лишь настолько, насколько доступны их данные. Центр мониторинга, который видит выборку среды, наследует все её слепые пятна. Для одного из четырёх крупнейших мировых банков доступ к журналам сетевого трафика AWS, журналам действий и телеметрии Microsoft 365 оставался недоступным, потому что их загрузка в прежний SIEM обошлась бы ещё в 6 миллионов долларов.
Что сделали
Vega — платформа агентной киберзащиты для крупных компаний, банков и медицинских организаций. Её агенты обнаруживают атаки, сортируют тревоги, расследуют инциденты и оптимизируют правила обнаружения прямо на данных, где они лежат, без загрузки и централизации. Claude служит движком рассуждений.
Сначала команда задала эталон точности на самой мощной модели Claude, затем снизила стоимость и нагрузку, не теряя качества.
Как это устроено
Каждому слою конвейера подобран подходящий уровень модели. Самое глубокое рассуждение достаётся подтверждённым тревогам, где ставки выше всего, а массовая работа вроде разбора журналов и сводок идёт на более лёгких и быстрых моделях.
Опыт инженеров закодирован в «навыках обнаружения» на основе формата Agent Skills. Это цикл из трёх шагов, который выполняется для каждой тревоги. Навыки сортировки решают, повышать ли тревогу до инцидента, и прикладывают рассуждение. Навыки расследования строят гипотезу, собирают доказательства и пишут объяснимый вывод с рекомендациями ещё до того, как инцидент увидит человек. Навыки оптимизации записывают одобренные вердикты обратно в правило обнаружения. Каждое изменение утверждает инженер, так что решения остаются за людьми.
Для клиентов вывод идёт через облачную платформу с нулевым хранением данных и без обучения на данных клиентов. Когда одному клиенту понадобилось размещение данных в ЕС, команда за менее чем три недели развернула отдельный контур во Франкфурте.
Цифры
- ●расследования до 44 раз быстрее, а данные обходятся до 82% дешевле, чем при загрузке в традиционные SIEM
- ●сортировка с 25 минут до менее чем 3 минут в крупной компании из списка Fortune 500
- ●около 67% времени аналитиков возвращается клиентам
- ●проверка более миллиарда записей в журналах за 17 регионов AWS за 41 секунду против 30 минут вручную
- ●банк получил телеметрию на 6 миллионов долларов, которую раньше не мог себе позволить
- ●инвестиционная фирма после пробного проекта решила заменить прежний SIEM платформой Vega
Что повторить у себя
- Оцените, какую долю журналов безопасности вы вообще анализируете. Слепые зоны обходятся дороже, чем хранение.
- Не ставьте самую дорогую модель на всю цепочку: тяжёлые рассуждения оставьте для подтверждённых тревог, остальное отдайте лёгким моделям.
- Записывайте приёмы лучших инженеров как повторяемые навыки: как сортировать, расследовать, улучшать правило.
- Оставьте утверждение изменений человеку: агент готовит черновик решения, подписывает инженер.
- Заранее проверьте требования к размещению данных, прежде чем обещать клиентам в разных регионах.
Как измеряли
Цифры взяты из собственного кейса вендора, опубликованного вместе со стартапом, и описывают результаты клиентов Vega, а не независимый замер. «До 44 раз» и «до 82%» — верхние значения. Про 82% страница формулирует по-разному: «ниже затраты, чем у SIEM» и «до 82% меньше платят за данные, чем при загрузке в SIEM»; в тексте оставлена вторая формулировка. Сортировка с 25 минут до менее 3 относится к одной компании из списка Fortune 500 (в итогах названа страховой). Метод расчёта «67% времени» не раскрыт.
Сроки: Даты на странице нет. Для одного клиента отдельный контур в ЕС развернули менее чем за три недели.
Цифры взяты из публикации компании и не проверялись независимо. Оценивайте достоверность по описанию методики выше. Первоисточник