Как ИИ снижает порог для атакующих и меняет архитектуру SOC: итоги второго дня SOC Forum 2026
Пленарная сессия «ИИ против ИИ: кто быстрее?» задала одну из основных тем дня – как меняется баланс между атакующими и защитниками по мере распространения искусственного интеллекта. Этот вопрос продолжили на технологических сессиях: эксперты обсуждали снижение порога входа для злоумышленников, новые способы обнаружения атак, права автономных агентов и переход SOC к интеллектуальному реагированию.
Как ИИ меняет работу CISO
На «Большой сессии CISO» участники строили сценарии внедрения ИИ в информационной безопасности на горизонте пяти лет. Форсайт прошел в формате трех пар директоров по информационной безопасности из разных отраслей: они предлагали свои модели, а аудитория голосовала за каждую из них.
В сессии участвовали руководитель дирекции информационной безопасности «Почты России» Роман Шапиро, директор департамента защиты информации и ИТ-инфраструктуры «Норильского никеля» Алексей Мартынцев, начальник службы по обеспечению информационной безопасности аэропорта Пулково Сергей Савченко, директор по информационной безопасности Hoff Андрей Эли, директор по информационной безопасности Московской биржи Сергей Демидов и начальник управления по информационной безопасности ФГУП «ГРЧЦ» Дмитрий Карпычев. Модерировали дискуссию заместитель генерального директора «Кибердома» Александра Шадюк и со-модератор клуба CISO Рустам Гусейнов.
Участники обсуждали, какие задачи ИБ изменит искусственный интеллект, что произойдет с людьми и фондом оплаты труда, какие модели будут использовать компании и сколько собственного управленческого функционала CISO сможет делегировать ИИ. Участники разошлись в оценках. Одни ожидают снижения стоимости владения ИБ, другие прогнозируют рост затрат из-за высокой квалификации специалистов, которые будут управлять ИИ-агентами.
По мнению Александры Шадюк, одним из главных изменений станет перестройка самой управленческой модели.
«А вот какая действительно революция произойдет – так это глобальная управленческая революция. Потому что раньше, чтобы вырастить руководителя, который управляет тридцатью людьми, это сколько нужно сил и времени. А теперь каждый менеджер резко становится управленцем: он должен управлять агентами, делегировать им задачи, обучать их, контролировать всю эту команду», – отметила Александра Шадюк.
Сергей Савченко также прогнозирует рост затрат на персонал: для внедрения и контроля ИИ-агентов потребуются специалисты высокой квалификации. Сергей Демидов не ожидает массового исчезновения людей из процессов ИБ и допускает, что заметный рост безработицы из-за ИИ может вызвать регуляторную реакцию.
На сессии «ИИ с правом на действие: что меняется для ИБ?» обсуждение перешло от прогнозов к конкретным правилам работы автономных агентов. Такие системы получают доступ к корпоративным сервисам и данным и могут самостоятельно выполнять операции.
Руководитель продукта центра технологий кибербезопасности ГК «Солар» Александр Шепилов отметил, что ИИ-агенту нужна собственная идентичность – Non-Human Identity. Ее необходимо учитывать в матрице ролей и модели угроз. Отдельного контроля требуют субагенты, которых запускает основной агент: их полномочия не должны быть шире прав исходного агента.
«Субагенты должны наследовать права не больше, чем у материнского агента, или даже идти по нисходящей траектории, потому что мы так как минимум зону поражения сужаем», – отметил Александр Шепилов.
Как ИИ меняет разработку, атаки и SOC
На сессии «Быстрее, дешевле, уязвимее? Как ИИ перекраивает стандарты безопасной разработки для бизнеса» участники обсуждали, как искусственный интеллект меняет инструменты поиска уязвимостей. Модерировал дискуссию начальник управления прикладных платформ департамента информационных технологий Банка России Максим Кожокарь.
Директор центра разработки решений по контролю безопасности ПО ГК «Солар» Антон Прокофьев считает, что ИИ не заменит классические инструменты статического и динамического анализа кода. Следующим этапом могут стать SAST 2.0 и DAST 2.0, в которых возможности ИИ дополнят существующие методы. При этом одной LLM для качественного поиска уязвимостей пока недостаточно – ей нужны данные, контекст и математическая модель.
«Классические вещи никуда не денутся, появятся SAST 2.0 и DAST 2.0, связанные с искусственным интеллектом. Сложность в том, что без математической модели, которая уже есть в SAST, без данных и контекста отдельная LLM работает не очень хорошо. Рано или поздно мы к этому придем, и это будет действительно SAST 2.0 – работающий быстрее, качественнее и с большим покрытием», – отметил Антон Прокофьев.
На сессии «Атак больше. А видим мы их лучше?» эксперты отметили, что статистика кибератак зависит не только от активности злоумышленников, но и от методики подсчета – по числу инцидентов, расследований внутри сервиса или интенсивности атак.
Директор центра противодействия кибератакам Solar JSOC ГК «Солар» Антон Юдаков сообщил, что за девять месяцев 2026 года доля подтвержденных инцидентов выросла, однако динамика различалась в зависимости от типа атакующих. Искусственный интеллект меняет и сами признаки атаки: одним из маркеров фишинга может становиться непривычно качественный текст сообщения.
«Я стал мыслить наоборот. Если все идеально, не фишинг ли это?» – отметил Антон Юдаков.
Руководитель Управления предупреждения внешних киберугроз BI.ZONE Олег Скулкин отметил еще одно изменение: ИИ увеличил количество уязвимостей, используемых в реальных атаках, и снизил требования к навыкам атакующих почти до нуля. При этом старший исследователь угроз информационной безопасности Kaspersky Георгий Кучерин обратил внимание на обратный эффект: код, который не проверил человек, повышает для APT-группировки риск обнаружения.
Вопрос о том, как защите успевать за растущей скоростью изменений, продолжили на сессии «Бизнес, разработчики и злоумышленники надели сапоги-скороходы. Как защите успеть за ними?». Ее модерировал директор по услугам и технологиям Innostage Владимир Дрюков. По его мнению, основной эффект ИИ и автоматизации не обязательно заключается в сокращении затрат – прежде всего они позволяют быстрее развивать процессы и реагировать на изменения.
Руководитель отдела комплексных технических решений ГК «Солар» Александр Кузнецов рассказал об изменениях в архитектуре SOC. По его словам, SIEM перестает быть центром единого аналитического ядра.
«Единый контур хранения всех данных, где SIEM местами может быть поставщиком, а может быть потребителем. И отдельно контур, относящийся к рискам, в котором выделяются подконтуры для классических ML-моделей и отдельный контур LLM-составляющих для коммуникации и операторов, и клиентов», – отметил Александр Кузнецов.
Переход к интеллектуальному реагированию также должен быть постепенным: от ручных операций к автоматизированным, затем к автоматическим и только после накопления практики – к использованию ИИ.
«Давайте определим правила, когда это можно делать в автоматическом режиме, чтобы это было всем понятно и прозрачно. Наработали практику, обучили на ней ИИ – и дальше он работает», – отметил Александр Кузнецов.
Начинать Кузнецов предложил с одной операции локализации – например, блокировки IP-адреса или учетной записи. Для нее можно определить пилотную зону, перевести действие в автоматический режим и оценить результат. По его словам, даже такая точечная автоматизация может ускорить реагирование в разы.
Как внедрять ИИ в регионах
На круглом столе «Регионы в AI-reality: как сохранить управляемость и безопасность» обсуждали опыт внедрения искусственного интеллекта в региональном управлении. Первый заместитель генерального директора АО «Центр информационных технологий Республики Татарстан» Василий Зинкин рассказал о подходе снизу вверх: госслужащих обучают работе с технологией и предлагают самостоятельно создавать агентов для решения реальных задач.
Заместитель директора ГКУ МО «ЦИБ МО» Константин Щуров назвал одной из сложностей разрозненность государственных информационных систем. Для внедрения ИИ регионам приходится выстраивать архитектуру управления данными.
Директор департамента архитектуры стратегических проектов ГК «Солар» Антон Ефимов обратил внимание на другое следствие распространения ИИ: код начинает появляться там, где раньше собственной разработки не было. Вместе с ним появляются и новые требования к безопасности процессов.
«Колоссальный объем кода появляется в местах, где никто его не ожидал. Наша главная задача – построить сквозной безопасный процесс поверх вот этого озера данных, которое рождается», – отметил Антон Ефимов.
По мнению Ефимова, информационной безопасности также необходимо свое озеро данных, связанное с данными ИТ- и бизнес-систем. Прежняя модель, в которой человек вручную обнаруживает событие и после этого начинает реагировать, при растущем объеме информации работать уже не будет.
Всего в техническую программу SOC Forum 2026 вошли 82 доклада, отобранные через Call for Papers из более чем 400 заявок. Наибольший интерес участников CFP вызвал трек AI & Cybersecurity: на него поступило 126 заявок – в 2,5 раза больше, чем годом ранее.
SOC Forum объединяет бизнес, государство и ИБ-сообщество
В деловой программе SOC Forum 2026 выступили свыше 170 спикеров и модераторов более чем из 90 компаний и организаций. Форум объединил представителей бизнеса, государственных структур, регуляторов и профессионального ИБ-сообщества. В дискуссиях участвовали банки, промышленность, телеком, ритейл и e-commerce, транспорт, технологические компании и государственный сектор. Среди них – ВТБ, ПСБ, Т-Банк, Россельхозбанк, «Ростелеком», «Билайн», «Норильский никель», РУСАЛ, АЛРОСА, X5 Tech, Ozon, hh.ru, Московская биржа, «Аэрофлот» и аэропорт Пулково.
В обсуждениях участвовали топ-менеджеры, CISO, руководители ИТ- и ИБ-подразделений, представители государственных структур и регуляторов, специалисты SOC, исследователи угроз, архитекторы и разработчики средств защиты. Такой состав позволяет обсуждать ключевые вопросы кибербезопасности одновременно с точки зрения бизнеса, регулирования и технологической практики и формировать повестку, с которой отрасль входит в следующий год.
За пределами конференц-залов работала выставочная зона с решениями партнеров форума, пространствами для встреч и переговоров и интерактивными форматами.
ГК «Солар» объединила свои активности в пространстве RestИИк by Solar. Оно было построено вокруг связанных задач защиты: безопасности онлайн-ресурсов, мониторинга и реагирования, контроля доступа, сети и данных, безопасной разработки и работы с ИИ. В зоне JSOC ONE участники могли вместе с экспертами рассчитать стоимость SOC для своей компании и обсудить подключение круглосуточного мониторинга и реагирования. Экспозицию дополняли «открытая кухня», киберигровая и кибергастробар. На площадке форума также работала выездная студия «Киберболоида».
Вокруг SOC Forum в рамках Российской недели кибербезопасности работали отдельные проекты для стартапов, студентов и молодых специалистов. Они дополняли основную программу форума и были посвящены развитию новых команд, профессиональному росту и выходу молодых проектов на рынок. Подробнее об их итогах ГК «Солар» расскажет в следующих материалах.
Организаторы и партнеры
SOC Forum проходит в рамках Российской недели кибербезопасности. ГК «Солар» выступает организатором Недели и соорганизатором форума. Стратегические партнеры SOC Forum – Security Vision, «Газинформсервис» и Техническая академия Росатома.
Информационную поддержку форуму оказывают 51 партнер, в том числе 14 блогеров и представителей киберсообщества. Стратегические информационные партнеры – ТАСС (стратегический инфопартнер сессии регуляторов), Forbes (стратегический медиапартнер пленарной сессии), RUTUBE, AM Live и CISOCLUB. Ключевые информационные партнеры – TelecomDaily, Sachok и «Игнатий Цукергохер». «Киберболоид» выступает ключевым информационным партнером трека CFP.
В числе информационных партнеров SOC Forum – журнал «Компания», «Код ИБ», RuNews24, Security Media, BIS Journal, «Цифровая Россия», «Банковское обозрение», ICT-Online, информационное агентство «Интерфакс», TABURET, «Типичная Москва», ARTChannel, «Маруся ФМ», журнал CIS, Information Security, Hi-Tech Mail, Retail.ru, ICT2GO, АРПП «Отечественный софт», журнал «Системный администратор», «Москва 24», NEWS.ru, NBJ, «Компьютерра», агентство «ПРАЙМ», Global Digital Space, журнал «Хакер» и «Московские Новости».
Форум также поддерживают представители киберсообщества и технологические блогеры: Sachok, «Цифровая Россия», «Форумчанка», ITeach: твоя кибербезопасность, «Этичный Хакер», IT News, «Игнатий Цукергохер», ZeroDay | Кибербезопасность, «КапИБара», YAH и «Вестник Киберполиции России».
