Sophos скоротив час розслідування загроз на 96%

Проблема 38 хвилин, яка визначала цілу індустрію

Десятиліттями кібербезпека намагалася вичавити максимум із людей-аналітиків: наймала більше, навчала краще, будувала дашборди, щоб вони рухалися швидше. Ця парадигма тепер застаріла. Не "під тиском". Не "еволюціонує". Застаріла.

Sophos щойно опублікував цифри, які це доводять. Те, що компанія побудувала разом із програмою OpenAI Daybreak, не просто прискорює старий процес — воно усуває вузьке місце повністю. Деталі архітектури та механіки варто зрозуміти уважно, перш ніж вирішувати, що це означає для вашої організації.

До жовтня 2026 року Sophos уже мав один із найшвидших процесів розслідування загроз у галузі. За словами технічного директора Джона Петерсона, середній час розслідування — 38 хвилин — випереджав 96% профільних центрів безпеки по всьому світу. Більшість організацій могли б лише позаздрити такому результату.

Потім вони скоротили його ще на 96%.

Результат: кейси, які обробляють AI-агенти, тепер займають у середньому 89 секунд від сповіщення до рекомендованої відповіді. Це не покращення наявного процесу — це інша категорія операцій, де обмежувальним фактором є вже не пропускна здатність аналітиків, а швидкість обчислень.

Що таке OpenAI Daybreak

OpenAI Daybreak — це програма, яка надає перевіреним партнерам у сфері кібербезпеки контрольований доступ до передових AI-моделей, спеціально адаптованих для задач безпеки. Це не продукт із полиці. Це структурована співпраця: OpenAI забезпечує можливості моделі, а партнер приносить галузеву експертизу, розвідку загроз і операційний контекст.

Для Sophos саме такий розподіл ролей став ключовим принципом проєктування. За словами Петерсона, Sophos приносить чотири десятиліття накопиченого досвіду боротьби з атаками у масштабі. Daybreak забезпечує передову інтелектуальну базу, яка дозволяє застосовувати цей досвід послідовно, миттєво та для всіх клієнтів одночасно — замість того щоб розподіляти його залежно від кількості аналітиків на зміні.

Мета полягала не в тому, щоб дати аналітикам ще один інструмент. А в тому, щоб зробити експертизу кожного аналітика Sophos доступною для кожного клієнта — в один і той самий момент, без черги.

Ця відмінність важлива для будь-якого керівника, який думає про AI-автоматизацію. Цінність не в заміні людського судження — а в усуненні послідовного вузького місця, яке змушує людське судження відбуватися по одному кейсу за раз.

Sophos Fusion: архітектура за цифрами

Операційне ядро цього розгортання — Sophos Fusion, AI-нативна система кіберзахисту компанії, яка охоплює її сервіс Managed Detection and Response (MDR). Розуміння її структури пояснює, чому результати такі вражаючі.

Воронка даних

Sophos Fusion агрегує дані сенсорів із понад 500 сторонніх інтеграцій разом із власною телеметрією Sophos. Щодня ці сенсори генерують трильйони подій. Система стискає цей обсяг приблизно до 1 000–2 000 дієвих кейсів, які розподіляються між дев'ятьма центрами безпеки для розслідування.

Ця воронка — трильйони сирих подій, стиснутих до керованої черги кейсів — була автоматизована ще до Daybreak. Daybreak змінив те, що відбувається з кожним кейсом після потрапляння в чергу.

Двоагентний робочий процес

Кожен кейс проходить через двоетапну агентну архітектуру:

• Агент розслідування — збирає все релевантне для кейсу: контекст середовища клієнта, записи виявлення, індикатори компрометації (IoC) та відповідну розвідку загроз. Це фаза збору доказів, яка раніше вимагала від аналітика відкривати кілька інструментів, вручну зіставляти дані й будувати картину з нуля.

• Модель планування — виконує цикл "план — дія — перевірка". Вона формує стратегію розслідування, виконує доступні кроки через інфраструктуру безпеки, оцінює результати й видає структурований підсумок із рекомендованими діями для аналітиків.

Інші спеціалізовані агенти можуть виконувати частини фактичної відповіді — у межах, які аналітики Sophos визначають і коригують. Потенційно деструктивні дії залишаються під контролем людини. Система не діє автономно у критичних рішеннях — вона діє автономно в дослідницькій роботі, яка й займала більшість із тих 38 хвилин.

Чому ця архітектура масштабується

Елегантність цього підходу — у розмежуванні роботи з обсягом і роботи з судженням. Збір доказів, кореляція та первинне сортування — це робота з обсягом: повторювана, регламентована й виснажлива у масштабі. Вирішити, чи ізолювати машину або відкликати облікові дані — це робота з судженням: контекстуальна, наслідкова й така, що справді потребує людської експертизи.

Автоматизувавши перше, Sophos звільнив аналітиків для повного зосередження на другому. Результат: 52% кейсів MDR тепер вирішуються від початку до кінця AI без участі аналітика. Решта 48% також виграють від швидкості автоматизованого розслідування — аналітики отримують повний структурований брифінг за секунди, а не будують його самостійно впродовж півгодини.

Цифри в контексті

Три метрики визначають це розгортання, і кожна заслуговує точного прочитання:

Метрика	До Daybreak	Після Daybreak
Середній час розслідування	~38 хвилин	~89 секунд
Скорочення часу розслідування	—	96%
Кейси MDR, вирішені AI від початку до кінця	0%	52%

Скорочення на 96% стосується саме кейсів, оброблених AI-агентами, — а не кожної події безпеки по всій клієнтській базі Sophos. Показник автоматизації 52% означає, що для цих кейсів жоден аналітик не залучається на жодному етапі. Це власні операційні метрики компанії, опубліковані 9 жовтня 2026 року, і вони відображають живе виробниче розгортання, яке обслуговує понад 625 000 організацій по всьому світу.

Масштаб важливий: Sophos — не стартап, що запускає пілот. Це компанія з чотирма десятиліттями в кібербезпеці, яка захищає організації різних секторів і регіонів і щодня обробляє трильйони подій сенсорів. Ці цифри — з виробничої системи на рівні підприємства.

Коли ваш вихідний показник уже перевершує 96% галузі, а ви все одно скорочуєте його ще на 96% — це вже не оптимізація. Це структурна зміна того, що взагалі можливо.

Що це означає для автоматизації SOC поза кібербезпекою

На поверхні це кейс із кібербезпеки. Під нею — план дій для будь-якої операції, що тримається на великому обсязі чутливих до часу кейсів. А це описує чимало бізнес-функцій поза безпекою.

Подумайте, що архітектура Sophos насправді робить: вона бере великий обсяг структурованих і неструктурованих сигналів, фільтрує їх у дієві кейси, призначає кожному агента, який збирає контекст і формує рекомендовану дію, і передає людині лише справді неоднозначні рішення. Цей патерн підходить для моніторингу відповідності, погодження закупівель, ескалацій клієнтів, виявлення фінансових аномалій і перевірки договорів — скрізь, де вузьким місцем є пропускна здатність аналітика, а не складність самого рішення.

Урок не в тому, щоб "розгорнути AI-агентів у своєму SOC". Урок у тому, що архітектура розмежування роботи з обсягом і роботи з судженням та автоматизація першої у масштабі дає приріст ефективності на порядок — а не поступовий. Якщо ви оцінюєте, де AI-агенти можуть реально змінити ситуацію у вашій організації, модель Sophos пропонує конкретну методологію: визначте підготовчу роботу з великим обсягом і чіткими правилами, яка передує кожному людському рішенню, і автоматизуйте саме цей шар першим.

Для керівників, які розглядають цей шлях, фреймворк AI ROI дає структурований спосіб обґрунтувати бізнес-кейс до початку розробки. А якщо ви вибираєте, яка агентна архітектура підходить для вашого конкретного завдання, порівняння LangChain, CrewAI та AutoGen розкриває технічні компроміси в практичних термінах.

Питання людського контролю

Одне з найважливіших проєктних рішень у розгортанні Sophos — що вони свідомо не автоматизували. Потенційно деструктивні дії — ізоляція систем, відкликання доступу, видалення файлів — залишаються під контролем людини. Аналітики визначають межі, у яких діють агенти, і ці межі можна коригувати в міру зростання довіри до системи.

Це не обмеження технології. Це свідомий архітектурний вибір, що відображає зріле розуміння того, де AI-агенти створюють цінність, а де — ризик. Агент, який автономно реагує на хибне спрацювання в контексті кібербезпеки, може завдати більше шкоди, ніж початкова загроза. Та сама логіка діє в будь-якому бізнес-процесі: цінність автоматизації найвища там, де ціна помилки низька, а обсяг — великий.

Модель Sophos підказує практичний принцип для будь-якого впровадження AI-автоматизації: починайте з автоматизації дослідницької та підготовчої роботи, залишайте людей у контурі для наслідкових дій і поступово розширюйте межі автоматизації в міру того, як система підтверджує свою точність. Такий підхід також значно полегшує організаційне прийняття — аналітики, які бачать, що AI бере на себе рутинний збір доказів, зазвичай стають прихильниками, а не противниками.

Уроки для керівників, які автоматизують критичні операції

Кейс Sophos дає кілька конкретних висновків для керівників, які думають про AI-автоматизацію у своїх організаціях.

Починайте з підготовчого шару, а не з шару рішень. 38 хвилин, які заощадив Sophos, не витрачалися на складні рішення — вони йшли на збір доказів, щоб ці рішення стали можливими. У більшості бізнес-процесів та сама закономірність: більша частина часу йде на збирання контексту, а не на саме судження.

Вимірюйте правильний вихідний показник. Sophos знав, що їхні 38 хвилин — уже елітний результат. Ця точність мала значення: вона дозволила виміряти реальний вплив змін, а не просто заявити про покращення. Перш ніж розгортати агентів, встановіть чіткий кількісний базовий показник для процесу, який автоматизуєте.

Проєктуйте передачу між людиною та AI, а не заміну людини. Показник повної автоматизації 52% вражає, але 48%, де все ще залучені люди, не менш важливі. Система спроєктована так, що коли кейс перевищує поріг впевненості агента, він передає повний брифінг, а не сирий сигнал. Саме цей дизайн передачі робить людський контроль змістовним, а не номінальним.

Масштабуйте експертизу, а не штат. Формулювання Sophos — що мета полягала в масштабуванні впливу експертизи аналітиків, а не в заміні аналітиків — це правильна ментальна модель для будь-якої наукомісткої операції. AI-агенти не роблять ваших найкращих людей зайвими — вони роблять судження ваших найкращих людей доступним скрізь, одночасно.

Коли CEO може прийти на засідання ради директорів і показати, що критичний операційний процес тепер працює на 96% ефективніше — з задокументованою методологією та живими виробничими метриками — розмова змінюється. Вона перестає бути про те, чи варто досліджувати AI, і стає про те, які процеси трансформувати наступними. Саме така ясність будує впевненість — не лише в технології, а й у керівнику, який її впровадив.

Є ще щось тихіше, що відбувається, коли ви автоматизували правильний шар критичного процесу: зникає постійна фонова тривога "чи встигаємо ми?". Операції, які раніше нагадували боротьбу з пожежами, стають передбачуваними. Цей перехід — від реактивного до системного — і є тим, що керівники, які пройшли цей шлях, описують як справжню віддачу від інвестицій.

FAQ

Що таке OpenAI Daybreak і чим він відрізняється від стандартних продуктів OpenAI? OpenAI Daybreak — це партнерська програма, яка надає перевіреним компаніям у сфері кібербезпеки контрольований доступ до передових AI-моделей, оптимізованих для задач безпеки. На відміну від стандартного доступу до API OpenAI, Daybreak — це структурована співпраця, де партнер інтегрує моделі у свою наявну інфраструктуру безпеки, розвідку загроз і операційні процеси, а не будує все з нуля.

Чи означає скорочення на 96%, що всі розслідування Sophos тепер автоматизовані? Ні. Скорочення на 96% стосується середнього часу обробки кейсів, оброблених AI-агентами. Окремо: 52% кейсів MDR тепер вирішуються AI від початку до кінця без участі людини. Решта кейсів також виграють від автоматизованого розслідування та брифінгу, але потребують людського судження для фінального рішення про відповідь — особливо для потенційно деструктивних дій.

Як Sophos Fusion справляється з таким обсягом даних? Sophos Fusion агрегує телеметрію з понад 500 сторонніх інтеграцій разом із власними продуктами Sophos, обробляючи трильйони подій щодня. Система стискає цей обсяг приблизно до 1 000–2 000 дієвих кейсів на день, які потім розподіляються між дев'ятьма центрами безпеки. AI-агенти займаються розслідуванням і сортуванням цих кейсів.

Чи можна застосувати цю архітектуру поза кібербезпекою? Базовий патерн — прийом великого обсягу сигналів, автоматизований збір доказів, структурований брифінг для людей-прийнятників рішень — підходить для будь-якого процесу, де вузьким місцем є пропускна здатність аналітика, а не складність рішення. Моніторинг відповідності, виявлення фінансових аномалій, перевірка закупівель і управління ескалаціями клієнтів — усі вони мають структурну схожість із SOC-процесом, який автоматизував Sophos.

Які запобіжники не дають AI-агентам завдавати шкоди? Аналітики Sophos визначають операційні межі, у яких можуть діяти агенти. Потенційно деструктивні дії — наприклад, ізоляція систем або відкликання облікових даних — потребують явного схвалення людини. Межі можна налаштовувати й поступово розширювати в міру зростання впевненості в точності системи. Цей підхід зберігає людське судження в контурі для рішень із високими ставками, автоматизуючи підготовчу роботу.

Скільки часу зайняло розгортання цієї системи? Офіційний кейс-стаді, опублікований OpenAI 9 жовтня 2026 року, не вказує повний часовий графік розгортання. Sophos приєднався до програми OpenAI Daybreak Cyber Partner Program у червні 2026 року, що свідчить про те, що виробничі результати були досягнуті протягом кількох місяців після початку партнерства.

---

Кейс Sophos демонструє не лише те, на що здатні AI-агенти в кібербезпеці, — він показує, як виглядає добре спроєктований людино-AI-процес у виробничому масштабі. Архітектура відтворювана. Методологія задокументована. Результати — живі.

Якщо ви думаєте про те, де ця модель застосовна у вашій організації — які процеси гальмуються збором доказів, а не судженням, і що означав би приріст ефективності на 96% для вашої команди — запитайте нашого AI-агента напряму. Це швидший спосіб окреслити можливості, ніж починати з чистого аркуша.