«38 минут превратились в 89 секунд»: Sophos сократила расследование угроз на 96% с OpenAI Daybreak

Что произошло

9 октября 2026 года OpenAI опубликовала кейс о Sophos — поставщике кибербезопасности, который защищает более 625 тысяч организаций в разных отраслях и регионах.

Исходную рамку материал задаёт так: передовые модели помогают защитникам находить и разбирать угрозы быстрее, но те же возможности расходятся по открытым моделям, давая атакующим новые способы искать уязвимости и ускорять эксплуатацию. Sophos строит свою работу с OpenAI Daybreak именно на этом фоне: модели OpenAI соединяются с собственной разведкой угроз компании, плейбуками реагирования и экспертизой специалистов. Задача, как подчёркивают авторы, не в том, чтобы выдать аналитику ещё один инструмент, а в том, чтобы размножить экспертизу Sophos на каждого клиента.

«Мы видим огромное разнообразие разных атак, — говорит Джон Питерсон (John Peterson), технический директор Sophos. — За четыре десятилетия в бизнесе кибербезопасности мы накопили огромный опыт борьбы с ними».

«Sophos приносит предметную экспертизу и знание того, как бороться с атаками в масштабе. А программы вроде Daybreak и компании вроде OpenAI приносят передовой интеллект, который позволяет взять эту экспертизу и масштабировать её на всех наших клиентов», — продолжает он.

Внутри контура Sophos

В центре работы — Sophos Fusion, AI-нативная система киберзащиты Sophos, включающая сервис Sophos Managed Detection and Response (MDR). Она сводит данные сенсоров из более чем 500 сторонних интеграций вместе с собственными продуктами компании. Суммарно эти сенсоры генерируют триллионы событий в день, из которых Sophos сжимает примерно 1000–2000 кейсов для разбора силами девяти своих центров безопасности (SOC).

Именно эти кейсы и поменяли агенты, собранные на Daybreak. Агент-исследователь собирает по каждому кейсу контекст клиента, детекции, индикаторы компрометации (IoCs) и релевантную разведку угроз. Затем модель планирования выстраивает цикл «план — выполнение — проверка»: строит план расследования, выполняет шаги и формирует сводку с рекомендованными действиями реагирования, которую просматривают аналитики. Часть действий по реагированию могут выполнять и другие агенты.

Цифры до и после

До Daybreak расследование и реагирование по кейсу опиралось в первую очередь на экспертизу человека. Средний показатель процесса составлял около 38 минут — и, по словам Питерсона, это было лучше, чем работа 96% профессиональных центров безопасности.

«Теперь благодаря агентам, которых мы смогли собрать в рамках программы Daybreak, среднее время реакции по кейсам, где используются эти агенты, упало примерно до 89 секунд. Около половины кейсов, которые мы ведём, сейчас автоматизируют агенты, разработанные нами на моделях Daybreak», — приводит OpenAI слова технического директора Sophos.

То есть заявленные 96% — это сокращение среднего времени расследования: с примерно 38 минут до 89 секунд. В разделе «результаты» OpenAI перечисляет следствия: 52% кейсов MDR решаются end-to-end силами ИИ в границах, откалиброванных аналитиками Sophos; клиент получает более быстрый и более предсказуемый разбор; компания масштабирует вычисления, а не полагается на эквивалентный рост дефицитных кадров в кибербезопасности; аналитики возвращаются к угрозам, исключениям и решениям, где их экспертиза нужнее всего.

Три режима и человеческий контроль

Управление у клиента Sophos встроено в сервис MDR через три режима работы. В режиме Notify Sophos расследует кейс и рекомендует ответ, но действие выполняет сам клиент. В режиме Collaborate Sophos и клиент работают вместе, прежде чем действие предпринято. В режиме Authorise Sophos может реагировать напрямую от имени заказчика.

Границы одни и те же независимо от того, кто выполняет работу — человек или агент. Автоматизация позволяет двигаться быстро и лучше распоряжаться временем аналитиков, но потенциально разрушительные действия по-прежнему требуют должного уровня человеческого надзора. «Всё, что мы не считаем комфортным отдавать агенту, передаётся на человеческое суждение», — подтверждает Питерсон.

Что дальше

Питерсон говорит, что Sophos продолжит расширять возможности агентов: «Способности реагирования будут становиться всё более изощрёнными, и мы расширим круг сценариев, которые закрываем собранными агентами». И добавляет: «С такими программами, как Daybreak, у нас есть возможность оставаться на шаг впереди сообщества атакующих».

Совет другим руководителям безопасности у него простой: заняться основами. «Одно, что руководителям безопасности стоит сделать завтра, — это действительно вернуться к фокусу на фундаментальных основах безопасности своей организации, — говорит он. — Это, конечно, включает патчинг. Но патчи всегда будут закрывать только уязвимости, известные вендору».

Ответ — поддерживать «многослойный подход к безопасности», включающий защиту конечных точек, многофакторную аутентификацию (MFA), сегментацию сети и сильные процессы безопасности. «Уязвимости обнаруживают с тревожной скоростью и эксплуатируют в масштабе, которого мы никогда раньше не видели. Поэтому я считаю, что делать основы хорошо сегодня важнее, чем когда-либо», — заключает технический директор Sophos.