چند روز پیش، نشستی با مدیر ارشد امنیت اطلاعات (CISO) یک شرکت از فهرست Fortune 50 داشتم تا بررسی کنیم تیم امنیتی چگونه از عوامل هوش مصنوعی در مرکز عملیات امنیتی (SOC) استفاده میکند. تیمی باهوش و برنامهای جدی داشتند؛ آنها کلود (Claude) را به چند ابزار تشخیص تهدید متصل کرده بودند و در تحقیقات خاص ارزش واقعی مشاهده میکردند. اما وقتی معماری گستردهتر را نقشهبرداری میکردیم، چیزی مدام مرا آزار میداد: طراحیای که میساختند برای درصد کمی از هشدارها (که واقعاً نیاز به قضاوت عمیق انسانی داشتند) عالی کار میکرد، اما بقیه را کاملاً نادیده میگرفت.
در پرواز برگشت، کتابی را برداشتم که سالها بود به آن دست نزده بودم: «تفکر، سریع و کند» اثر دانیل کانمن. کانمن یکی از معدود افرادی است که واقعاً نحوه درک ما از تصمیمگیری انسانی را تغییر داد. او بهعنوان روانشناس، مطالعه کرد که مردم چگونه واقعاً فکر میکنند، نه آنطور که اقتصاددانان فرض میکردند. در سال ۲۰۰۲، برنده جایزه نوبل اقتصاد شد که نشان میدهد کارش تا چه حد فراتر از روانشناسی سفر کرده است.
دو سیستم ذهن: سیستم ۱ و سیستم ۲
استدلال اصلی کتاب این است که ذهن انسان یک چیز نیست، بلکه دو سیستم موازی و اغلب در تضاد است:
- سیستم ۱: مغز خودکار که الگوها را فوراً تشخیص میدهد، جو یک اتاق را در چند ثانیه میخواند و بدون تلاش آگاهانه شما را زنده نگه میدارد. سریع، تداعیگر و ناخودآگاه است. بر اساس تحقیقات کانمن، ۹۵٪ از کل شناخت انسان در اینجا اتفاق میافتد.
- سیستم ۲: مغز آگاه برای کارهای سخت مانند ارزیابی قرارداد، حل مسئله بدون پاسخ واضح و تصمیمگیری تحت فشار. کند، منطقی و پرزحمت است و ۵٪ باقیمانده تفکر ما را تشکیل میدهد. میتواند سیستم ۱ را اصلاح کند، اما ظرفیت محدودی دارد و با خستگی، سیستم ۱ کنترل را به دست میگیرد.
بینش اصلی کانمن این نیست که یک سیستم بهتر است، بلکه خطاهای انسان تقریباً همیشه نتیجه به کار بردن سیستم اشتباه برای کار اشتباه است. تفکر عمدی برای کارهای خودکار باعث فرسودگی و خطا میشود و تفکر خودکار برای کارهای تأملی، اشتباهات پراعتمادبهنفس تولید میکند.
اعداد تصادفی نیستند
کانمن میگوید انسانها ۹۵٪ شناخت خود را با سیستم ۱ و ۵٪ را با سیستم ۲ انجام میدهند. جالب اینجاست که تحقیقات مبتنی بر تحلیل بیش از ۲۵ میلیون هشدار سازمانی نشان میدهد ۹۸٪ هشدارها میتوانند به طور خودمختار حل شوند و کمتر از ۲٪ واقعاً نیاز به بررسی انسانی دارند. این نسبت تقریباً مشابه نسبت کانمن است. یک SOC کارآمد، اختراع جدیدی نیست، بلکه معماریای است که نحوه عملکرد بهترین ذهنهای تصمیمگیر را منعکس میکند: پردازش سریع و خودکار برای اکثریت ورودیها و قضاوت عمدی انسانی برای بخش کوچکی که واقعاً نیاز دارد.
مدیر امنیتی که با او صحبت میکردم، در حال ساختن SOC با یک مغز بود. تیمش از سیستم ۲ میخواست کار سیستم ۱ را انجام دهد و سپس دوباره از سیستم ۲ برای کار تخصصیاش استفاده کند. جای تعجب نیست که فقط بخشی از هشدارها پوشش داده میشد، تحلیلگران خسته بودند و تهدیدهای واقعی در میان هشدارهای بیاهمیت پنهان میماندند. بر اساس تحقیقات، یک سازمان با ۴۵۰ هزار هشدار در سال میتواند انتظار داشته باشد ۵۴ تهدید واقعی دقیقاً در میان همان هشدارهای نویز مانند پنهان شده باشد.
مغز سریع SOC برای ۹۸٪ هشدارها
بخش عمدهای از اولویتبندی هشدارهای SOC یک مشکل سیستم ۱ است. سوالاتی مانند «آیا این فایل مخرب شناخته شده است؟»، «آیا این ورود با رفتار تاریخی مطابقت دارد؟» و «آیا این IP در پروندههای قبلی دیده شده؟» نیاز به پاسخهای سریع و خودکار دارند، نه تأمل طولانی. هوش مصنوعی خودمختار میتواند این بار را بر دوش بگیرد و تحلیلگران را آزاد کند تا روی موارد استثنایی تمرکز کنند.
اما بسیاری از تیمهای امنیتی هنوز تحلیلگران انسانی را مجبور به انجام این کارهای تکراری میکنند. آنها مانند CISO داستان ما، تلاش میکنند با یک مغز (سیستم ۲) هم کارهای خودکار و هم کارهای تحلیلی را انجام دهند؛ نتیجهای جز خستگی و نادیده گرفته شدن تهدیدها ندارد.
راهحل: ترکیب هوش مصنوعی خودمختار و کمکخلبان تحلیلگر
راهحل منطقی، ایجاد یک معماری دوتیکه است: یک «مغز سریع» مبتنی بر هوش مصنوعی خودمختار برای مدیریت ۹۸٪ هشدارها و یک «مغز کند» شامل کمکخلبانهای تحلیلگر (Copilot) برای موارد پیچیده. این ترکیب نه تنها کارایی SOC را افزایش میدهد، بلکه تحلیلگران را از فرسودگی نجات میدهد و تهدیدهای واقعی را از نویز جدا میکند.
همانطور که کانمن نشان داد، تصمیمگیری مؤثر نیازمند کاربرد درست هر سیستم است. SOC نیز باید از این الگو پیروی کند: هوش مصنوعی خودمختار برای تشخیص الگوها و پاسخ سریع، و تحلیلگران انسانی برای قضاوت عمیق در موارد بحرانی. این دیدگاه میتواند انقلابی در معماری امنیت سایبری ایجاد کند.
در نهایت، پیام روشن است: اگر SOC شما هنوز با یک مغز کار میکند، وقت آن رسیده که دو سیستم را پیادهسازی کنید. ترکیب هوش مصنوعی خودمختار و کمکخلبانهای تحلیلگر، نقشه راهی است که هم از نظریه کانمن و هم از دادههای واقعی هشدارها پشتیبانی میشود.
