Các nội dung chính về tác tử AI trong SOC
Các trung tâm vận hành an ninh đã phải xử lý tình trạng quá tải cảnh báo trong nhiều năm. Theo bài viết gốc của The New Stack, các nhóm bảo mật hiện thử nghiệm tác tử AI để tổng hợp tín hiệu từ nhiều hệ thống. Tác tử có thể điều tra hoạt động đáng ngờ rồi đề xuất bước xử lý tiếp theo cho con người.
Sức hấp dẫn của cách làm này khá rõ. Chuyên viên SOC chỉ có quỹ thời gian và khả năng tập trung hữu hạn, trong khi số lượng mối đe dọa tiềm tàng không chịu giới hạn tương tự. Kẻ tấn công cũng bắt đầu tiếp cận các công cụ AI có thể tăng tốc một phần hoạt động của chúng. Chỉ cải thiện cách chuyên viên xử lý hàng đợi cảnh báo ngày càng dài có thể không còn đủ.
Từ hỗ trợ điều tra đến quyền tự quyết
Câu hỏi khó xuất hiện khi AI chuyển từ vai trò hỗ trợ sang mức tự chủ cao hơn: tổ chức thực sự sẵn sàng giao bao nhiêu quyền kiểm soát cho máy?
Yêu cầu một tác tử AI điều tra lần đăng nhập đáng ngờ khác hoàn toàn với việc cho phép nó vô hiệu hóa tài khoản liên quan. Sự khác biệt tương tự cũng xuất hiện khi tác tử cô lập thiết bị đầu cuối hoặc chặn lưu lượng mạng. Những thay đổi này có thể ảnh hưởng tức thì đến hoạt động kinh doanh.
Một tác tử tự chủ có thể đưa ra những quyết định đó nhanh hơn và trên quy mô lớn hơn chuyên viên con người. Chính lợi thế về tốc độ và quy mô cũng làm tăng hậu quả nếu quyết định sai.
Niềm tin không chỉ phụ thuộc vào mô hình
Chất lượng mô hình chỉ là một phần trong bài toán niềm tin. Nhóm bảo mật còn phải biết tác tử đang làm gì, thời điểm nào con người có quyền quyết định cuối cùng và liệu một hành động sai có thể được đảo ngược hay không.
Điều đó có thể đòi hỏi những giới hạn cứng đối với quyền tự chủ, trong đó có cơ chế dừng toàn bộ hệ thống nếu tác tử đi chệch hướng. Với độc giả đang theo dõi vấn đề kiểm soát AI, sự cố Claude đưa giám sát tác tử thành ưu tiên bảo mật và việc gỡ rào chắn AI là hai góc nhìn liên quan đến cùng câu hỏi về giới hạn vận hành.
Chuyên viên SOC chuyển sang vai trò điều phối
Khi tác tử được giao thêm trách nhiệm, công việc của những người phối hợp với chúng cũng thay đổi. Nếu AI xử lý phần lớn hoạt động điều tra thường lệ, chuyên viên có thể dành ít thời gian hơn cho hàng đợi cảnh báo. Họ sẽ tập trung nhiều hơn vào săn tìm mối đe dọa, đưa ra phán đoán và giám sát công việc lặp lại của tác tử.
Trong mô hình đó, chuyên viên SOC dần chuyển từ người trực tiếp điều tra sang người điều phối. Họ không rời khỏi quy trình, nhưng can thiệp ở những điểm cần phán đoán, chịu trách nhiệm hoặc phê duyệt hành động có tác động lớn.
SOC có thể trở thành một hệ thống vận hành khác
Thay đổi lớn hơn có thể nằm ở chính cấu trúc SOC. Khái niệm phát hiện và ứng phó liên tục vốn đã quen thuộc trong ngành bảo mật, nhưng tác tử AI có thể biến nó thành một quy trình sát nghĩa hơn.
Thay vì tách phát hiện, điều tra và ứng phó thành từng bước, một tác tử có thể di chuyển giữa các giai đoạn. Những gì nó học được trong một cuộc điều tra có thể trực tiếp tác động đến cách hệ thống phát hiện mối đe dọa tiếp theo.
Đây không còn là việc gắn thêm AI vào SOC hiện có. Nó có thể trở thành một mô hình vận hành khác. Tuy nhiên, CISO vẫn phải đối mặt với vấn đề công cụ quen thuộc. Nhóm bảo mật vốn đã quản lý nhiều hệ thống. Trong khi đó, các nhà cung cấp đang chạy đua bổ sung tác tử và tính năng AI. Doanh nghiệp có nguy cơ nhận thêm một tập hợp sản phẩm cần quản lý thay vì hệ thống liên tục như được hứa hẹn.
Cuộc thảo luận dành cho lãnh đạo bảo mật
Theo The New Stack, bàn tròn CISO về SOC vận hành theo tốc độ AI diễn ra ngày 15 tháng 9 năm 2026. Nội dung tập trung vào tình trạng quá tải cảnh báo và tác tử tự chủ. Cuộc thảo luận cũng đề cập tương lai của chuyên viên SOC và hình hài thực tế của bảo mật liên tục.
Khách mời gồm Jami Hughes, phó CISO tại Zions Bancorporation, và Oren Saban, đồng sáng lập kiêm giám đốc sản phẩm của Mate Security. Oren Saban trước đây phụ trách sản phẩm Microsoft Defender XDR và Security Copilot.
The New Stack cho biết phiên thảo luận chỉ dành cho 20 đến 25 lãnh đạo bảo mật. Đơn đăng ký được xét duyệt để duy trì một nhóm nhỏ và phù hợp. Đây không phải hội thảo trực tuyến truyền thống với hàng trăm người chỉ lắng nghe. Mọi người tham dự đều được kỳ vọng đóng góp vào cuộc trao đổi.
Quy tắc Chatham House được áp dụng trong suốt phiên họp, cho phép người tham gia trao đổi thẳng thắn về điều đang hiệu quả, điều chưa hiệu quả và những mối lo vẫn còn tồn tại.
Quyền cuối cùng nên thuộc về ai?
Nếu kẻ tấn công ngày càng hoạt động theo tốc độ AI, nhóm bảo mật cũng phải xác định phần nào trong quy trình ứng phó có thể giao cho AI. Điều tra và đề xuất hành động là một mức quyền hạn. Khóa tài khoản, cô lập thiết bị hoặc chặn lưu lượng là mức hoàn toàn khác.
Vấn đề không phải chọn giữa tự động hóa hoàn toàn và xử lý hoàn toàn bằng con người. CISO cần xác định rõ tác tử được phép làm gì và hành động nào phải chờ phê duyệt. Họ cũng cần quy định cách theo dõi quyết định và cơ chế đảo ngược khi hệ thống xử lý sai.
Nếu tổ chức của bạn đang thử nghiệm tác tử AI trong SOC, hãy bắt đầu cuộc trao đổi nội bộ từ quyền dừng, quyền đảo ngược và những quyết định bắt buộc phải có con người phê duyệt.
