ИИ уже помогает командам безопасности искать угрозы, разбирать логи и готовить гипотезы для расследований. Но вместе с выигрышем в скорости появляется менее очевидный риск: навыки кибербезопасности у специалистов могут деградировать, если они будут только принимать выводы инструментов. Для российских SecOps-команд это не академический спор: в момент сложного инцидента дашборд не заменит человека, который понимает, что именно произошло в инфраструктуре.
Об этой проблеме на конференции Black Hat India в Бенгалуру рассказал Натан Хамьел, старший директор по исследованиям Kudelski Security, сообщает Dark Reading. Его тезис прост: генеративный ИИ добавляет возможностей опытному эксперту, но не превращает новичка в такого эксперта. Напротив, если автоматизация забирает у начинающих аналитиков базовые задачи, отрасль может лишиться привычного пути, по которому выращивают инженеров, способных самостоятельно расследовать нестандартные атаки.
Хамьел говорит об этом не первый год. По его наблюдениям, признаки проблемы были заметны ещё в 2005–2006 годах: специалисты всё чаще работали не с самой системой и первичными данными, а с результатами, которые выдавали средства защиты, интерфейсы и панели мониторинга. Тогда он формулировал это жёстко: инструменты способны «убить» профессионала, если тот перестаёт разбираться в том, что происходит под капотом. ИИ не создаёт этот риск с нуля, а заметно ускоряет уже знакомую тенденцию.
Автоматизация полезна именно потому, что упрощает рутину. Она может быстрее человека просеять поток событий, сопоставить сигналы из разных источников, подготовить краткое резюме по уязвимости или помочь с поиском индикаторов компрометации. Проблема начинается, когда удобный ответ воспринимают как доказательство. Модель может ошибиться, неверно связать события или пропустить важный контекст конкретной сети. Специалист без фундаментального понимания протоколов, архитектуры, журналов и способов атаки не всегда заметит такую ошибку и не сможет проверить вывод.
В этом и состоит неприятная асимметрия: чем лучше эксперт знает предмет, тем полезнее для него ИИ. Он точнее формулирует запросы, быстрее отбрасывает слабые версии и понимает, какие данные нужно запросить дополнительно. Человек без опыта получает убедительно написанный текст, но не обязательно получает корректное расследование. Поэтому разговор об ИИ в безопасности не стоит сводить к вопросу, заменит ли он аналитика SOC. Гораздо важнее, кто останется в команде, когда автоматический сценарий не сработает, а атакующий использует непривычную комбинацию ошибок и легитимных инструментов.
Отдельная уязвимость — подготовка джунов. Рутинные задачи, которые кажутся кандидатами на немедленную автоматизацию, часто служат тренировочным полигоном: разбор алертов, проверка журналов, ручная валидация находок сканера, восстановление цепочки событий. На них формируется интуиция о нормальном и аномальном поведении систем. Если компания оставит новичку только контроль готовых ответов ИИ, она может сэкономить часы сегодня и обнаружить кадровую дыру через несколько лет, когда потребуется инженер для сложного расследования.
Хамьел также призывает не принимать на веру ни апокалиптические, ни чрезмерно оптимистичные сценарии вокруг ИИ. Способность модели находить уязвимости, генерировать код или помогать в расследовании не означает, что фундаментальные проблемы защиты исчезли. Многие громкие случаи, которые описывают как самостоятельные действия ИИ, на практике указывают на старую причину: организация не закрыла базовые слабые места и не соблюдала элементарную гигиену безопасности. ИИ способен быстрее обнаружить такие дыры или помочь их эксплуатировать, но не создаёт их магическим образом.
Практический вывод для руководителей безопасности и разработчиков довольно приземлённый. ИИ разумно применять там, где он сокращает время первичного анализа: в threat hunting, работе с threat intelligence и подготовке материалов для пентеста. Но критические решения стоит оставлять проверяемыми: сохранять первичные артефакты, требовать ручной валидации важных выводов, проводить учения без подсказок модели и не вычеркивать из обучения работу с логами, сетевым трафиком и уязвимостями. Метрика «закрыли больше алертов» без метрики качества расследований быстро создаёт иллюзию зрелого SOC.
ИИ в SecOps, похоже, станет обычным рабочим инструментом, а не отдельной экзотической функцией. Вопрос в том, смогут ли компании использовать его как усилитель команды, а не как повод перестать инвестировать в людей. Через несколько лет конкурентным преимуществом будут не самые красивые автоматические отчёты, а специалисты, чьи навыки кибербезопасности позволяют понять, где именно этим отчётам нельзя доверять.
