Sophos dùng AI của OpenAI, giảm 96% thời gian xử lý sự cố an ninh mạng

Sophos dùng AI của OpenAI, giảm 96% thời gian xử lý sự cố an ninh mạng

Bình thường, khi máy tính trong công ty bị tấn công, đội an ninh mạng phải mất hàng chục phút chỉ để tìm hiểu chuyện gì đang xảy ra trước khi ra tay xử lý. Sophos, một trong những công ty an ninh mạng lớn nhất thế giới, vừa cho biết họ đã rút ngắn thời gian đó xuống chỉ còn chưa tới hai phút, nhờ AI của OpenAI.

Vấn đề cũ: mỗi sự cố tốn hàng chục phút để xử lý

Sophos vận hành dịch vụ giám sát an ninh mạng (MDR, viết tắt của managed detection and response) cho hơn 625.000 tổ chức trên toàn thế giới. Khi có dấu hiệu bị tấn công, một chuyên viên an ninh phải tự tay lục lại nhật ký hệ thống, so sánh với các mẫu tấn công đã biết, rồi mới quyết định có nên cô lập máy tính đó hay không. Việc này vốn tốn trung bình khoảng 38 phút cho mỗi trường hợp, theo chia sẻ của đội Sophos. Trong lúc đó, kẻ tấn công vẫn có thể tiếp tục lan rộng trong hệ thống.

AI Daybreak của OpenAI hoạt động thế nào trong đội ngũ Sophos

Sophos tham gia chương trình Daybreak Cyber Partner Program của OpenAI, một chương trình chuyên đưa mô hình AI mạnh nhất của OpenAI vào tay các công ty an ninh mạng. Thay vì để khách hàng dùng trực tiếp mô hình AI (rủi ro hơn vì ai cũng có thể thử sai), Sophos tự xây sẵn quy trình để AI làm thay phần việc lặp đi lặp lại: tự đọc nhật ký hệ thống, tự so khớp với các kiểu tấn công đã từng gặp, tự viết ra bản tóm tắt sự cố và đề xuất hướng xử lý. Ông John Peterson, Giám đốc công nghệ (CTO) của Sophos, giải thích: "AI mạnh chỉ bảo vệ được khách hàng ở quy mô lớn khi bạn có đúng hạ tầng để triển khai nó." Đội ngũ của Sophos gọi mô hình vận hành này là "agentic SOC", tức trung tâm điều hành an ninh mạng (SOC) mà phần lớn việc điều tra ban đầu do AI tự làm, con người chỉ vào cuộc ở bước quyết định cuối cùng.

Những con số đứng sau lời quảng cáo

Theo Sophos, cách làm này giúp:

• Thời gian xử lý trung bình mỗi sự cố giảm từ khoảng 38 phút xuống còn 89 giây, tương đương giảm khoảng 96%.
• 52% số vụ việc được AI xử lý trọn vẹn từ đầu đến cuối mà không cần con người can thiệp giữa chừng.
• Quy mô áp dụng là hơn 625.000 tổ chức khách hàng của Sophos trên toàn cầu, không phải một thử nghiệm nhỏ lẻ.

Đây là những con số do chính Sophos công bố cùng OpenAI, chưa có bên thứ ba độc lập kiểm chứng lại, nên nên xem là kết quả Sophos tự đo trên hệ thống của họ.

Con người vẫn giữ quyền quyết định cuối cùng

Điểm đáng chú ý là Sophos không để AI tự ý cô lập máy tính hay khoá tài khoản của khách hàng. AI chỉ làm phần điều tra và đề xuất, chuyên viên con người vẫn là người bấm nút cuối cùng cho gần một nửa số ca, và giám sát toàn bộ ngay cả với các ca AI xử lý trọn vẹn. Cách làm thận trọng này giống với nguyên tắc chung khi để AI agent tự hành động thay vì chỉ trả lời câu hỏi: càng để AI tự quyết nhiều việc quan trọng, càng cần có người giám sát và một ranh giới rõ ràng AI không được tự vượt qua.

Điều này có ý nghĩa gì với bạn

Nếu công ty bạn đang dùng dịch vụ an ninh mạng thuê ngoài, câu chuyện của Sophos cho thấy xu hướng chung: AI đang đảm nhận phần việc đọc dữ liệu và phát hiện bất thường nhanh hơn con người rất nhiều lần, nhưng quyết định hành động cuối cùng vẫn nên có người chịu trách nhiệm. Đây cũng là lời nhắc hữu ích nếu bạn tự xây các công cụ AI để tự động đọc dữ liệu và đưa ra đề xuất trong công việc hàng ngày: hãy để AI làm phần tốn thời gian nhất (đọc, so sánh, tóm tắt), còn phần quyết định quan trọng thì vẫn do bạn xem lại trước khi bấm nút. Với các đội ngũ IT nhỏ hơn, rủi ro để AI agent bị đánh lừa qua dữ liệu đầu vào cũng là điều nên tìm hiểu trước khi giao việc quan trọng cho AI tự xử lý.

Câu hỏi thường gặp

Daybreak Cyber Partner Program là gì? Là chương trình của OpenAI dành riêng cho các công ty an ninh mạng, cho phép họ tích hợp mô hình AI mạnh của OpenAI vào sản phẩm của chính mình, thay vì để khách hàng cuối truy cập trực tiếp mô hình.

89 giây là thời gian xử lý toàn bộ sự cố hay chỉ một phần? Theo Sophos, đây là thời gian phản ứng trung bình cho một sự cố, tính từ lúc phát hiện bất thường đến khi có hành động xử lý, với các ca mà AI tham gia.

AI có tự ý khoá máy hoặc xoá dữ liệu của khách hàng không? Không. Theo mô tả của Sophos, AI chỉ điều tra và đề xuất, chuyên viên con người vẫn giám sát và quyết định các hành động quan trọng.

Doanh nghiệp nhỏ có thể áp dụng cách làm tương tự không? Không cần công cụ riêng như Sophos, nhưng bạn có thể tham khảo cách OpenAI xây công cụ AI tự làm việc nhiều bước để hình dung cách một AI agent đọc dữ liệu, so sánh và đề xuất hành động trong quy trình nội bộ của riêng mình.

#OpenAI #Sophos #AnNinhMang #AIAgent #Cybersecurity