Staffcop анонсировал выпуск ИИ-инструментов для анализа событий и расследования ИБ-инцидентов
При расследовании ИБ-инцидента специалист не всегда заранее знает точные признаки, по которым нужно искать: факты, информацию, цифровые следы. Если они известны, их можно заложить в политики: задать ключевые слова и другие условия. Сложнее, когда есть только гипотеза, а нужный сигнал скрыт в большом массиве событий и его трудно заранее описать формальным набором правил.
Новые ИИ-инструменты Staffcop позволят начинать поиск с такой гипотезы. Например, можно будет попросить систему найти сообщения с признаками давления на собеседника, показать события по определенной теме за выбранный период или сообщения с угрожающей тональностью. Запрос формулируется обычными словами, после чего специалист сможет перейти от результатов поиска к конкретным событиям в Staffcop.
Для анализа данных в Staffcop появятся LLM-политики. Они смогут выделять в сообщениях темы, тональность, паттерны поведения, коммуникативные намерения и сущности. Помимо готовых сценариев, пользователи смогут создавать собственные политики и задавать модели инструкции под задачи конкретной компании — например, искать определенные модели поведения или выделять отдельные категории событий.
Работать с результатами можно будет через чат-бот. Например, запросить сообщения за прошлую неделю по определенной теме или найти сообщения с признаками агрессии. Система преобразует вопрос в запрос к данным Staffcop и формирует выдачу. Из нее можно будет перейти к исходному событию и изучить его в контексте.
При этом поиск не ограничивается буквальным совпадением слов. Компонент может находить близкие по смыслу сообщения, поэтому сможет находить близкие по смыслу сообщения. Например, при поиске агрессивной коммуникации в выдачу могут попасть сообщения с соответствующими признаками, даже если в них нет очевидных слов-маркеров или ненормативной лексики. Такой подход позволяет искать сигналы, которые сложно заранее описать набором ключевых слов.
ИИ не будет самостоятельно определять, произошло нарушение или нет. Его задача — помочь сузить область поиска, найти потенциально значимые события и быстрее перейти к их проверке. Контекст найденного события и решение о том, подтверждается ли гипотеза об инциденте, оценивает специалист по информационной безопасности.
Даниил Бориславский, директор по продукту Staffcop, эксперт Контур.Эгиды: «При расследовании далеко не всегда можно заранее составить полный набор правил, который приведет к нужному событию. Иногда у безопасника сначала есть только гипотеза, которую нужно проверить на большом массиве данных. Мы хотим сократить этот путь: дать возможность поставить Staffcop задачу обычными словами, найти связанные с ней события и уже дальше разбираться с ними в контексте. ИИ здесь не расследует инцидент вместо специалиста, а помогает быстрее понять, куда смотреть».
Разработка ИИ-компонента началась в сентябре 2025 года. За это время команда Staffcop создавала MVP и прототипы и проверяла гипотезы вместе с одним из клиентов. Обратную связь заказчика использовали для доработки архитектуры и пользовательских сценариев.
На первом этапе ИИ-компонент позволит работать с темами, тональностью, паттернами поведения и коммуникативными намерениями. Команда также работает над преобразованием запросов на естественном языке в фильтры Staffcop. В дальнейшем планируется расширить поиск на другие типы событий, добавить группировку и агрегацию данных. Еще одно направление развития — суммаризация длинных обсуждений: модель сможет выделять основную тему и договоренности участников.
ИИ-компонент можно будет развернуть в инфраструктуре заказчика, в том числе в изолированном контуре при наличии необходимых вычислительных ресурсов. Архитектура позволяет подключать совместимые языковые модели, в том числе уже развернутые в инфраструктуре компании. Для разных задач можно будет использовать разные модели — например, одну для анализа данных, другую для работы чат-бота.
Требования к вычислительным ресурсам будут зависеть прежде всего от потока обрабатываемых данных. Короткое сообщение в мессенджере и письмо с длинной цепочкой переписки создают разную нагрузку, поэтому конфигурацию необходимо подбирать с учетом объема текста и необходимой скорости обработки.
ИИ-компонент планируется сделать доступным действующим клиентам Staffcop в тестовом режиме после выхода версии 5.9. Для участия в тестировании необходимо будет обратиться к персональному менеджеру.
