مدير منتج بلا خبرة في SOC يحتل المركز الأول في BlueSec1 بوكيل ذكاء اصطناعي لفرز التنبيهات

فكرة مسابقة BlueSec1 بسيطة: على المشارك أن يبني وكيل ذكاء اصطناعي يفرز التنبيهات بدلًا من محلل الخط الأول في SOC. وتضم المسابقة أربع مراحل. كاتب التحليل على Habr اختصاصي منتجات في إدارة الثغرات الأمنية، ولا يتعامل مع التنبيهات في عمله. وكانت أولى رسائله إلى شريكه الذكي: «لا أفهم المغزى من هذا، اشرحه لي». ومع ذلك احتل المركز الأول في المرحلة المفتوحة. ثم، كما يكتب، «أُلغيت» التقييمات.

نُشرت المادة على Habr بوصفها رواية شخصية من أحد المشاركين. ولا يتضمن الإعلان المتاح لنا أي مقاييس دقة، ولا وصفًا لبنية الوكيل، ولا تفاصيل عن تشكيل لجنة التحكيم. نعرض أدناه ما ورد فيه فقط، مع السياق الذي تُقرأ فيه هذه القصة.

ما المهمة المطروحة؟

يتولى الخط الأول في SOC (security operations center) عملية الفرز. يتلقى المحلل تنبيهًا من SIEM أو EDR أو نظام آخر، ويراجع السياق، ثم يقرر: إغلاقه بوصفه إنذارًا كاذبًا، أو تصعيده، أو طلب بيانات إضافية. العمل رتيب وكبير الحجم، ويصعب توسيع نطاقه بالاعتماد على البشر. ولهذا السبب بالذات يجري أولًا تجريب إسناده إلى وكلاء LLM.

يختبر تنسيق BlueSec1 مدى قدرة الوكيل على أداء هذا الدور. فلا يكفي أن يربط المشارك نموذجًا بالنظام، بل عليه أن يصف كيف يستدل النموذج على التنبيه، وما البيانات التي يطلبها، ومتى يتوقف.

لماذا تُعد قصة الكاتب دالّة؟

المعلومة الأهم هنا ليست المركز في الجدول، بل ملف الفائز في المرحلة المفتوحة. فقد حصل شخص بلا خبرة في فرز التنبيهات على وكيل يعمل، لأنه استخدم الذكاء الاصطناعي منفّذًا ومفسّرًا للمجال في آن واحد. وكانت جملة «اشرح لي ما المغزى» بداية العملية: يُدخل النموذج الكاتب أولًا في صورة الموضوع، ثم يبنيان الحل معًا.

وهذا يطرح سؤالًا محرجًا عمّا تقيسه المسابقة فعلًا. فإذا تفوّق مبتدئ على المتخصصين في المرحلة المفتوحة، فإما أن مهام المرحلة قابلة للصياغة الشكلية وتستجيب للمطالبات (prompts)، وإما أن المقياس لا يقيس كل ما يهم في SOC حقيقي. ويلمّح الكاتب نفسه إلى المشكلة: فبعد المركز الأول «أُلغيت» التقييمات. أما ما يعنيه ذلك عمليًا (إعادة احتساب، أم تصفير، أم تغيير في المنهجية) فلا يتضح من الإعلان. وللإجابة نحتاج إلى النص الكامل.

ما المعروف من الإعلان؟

• الصيغة: مسابقة BlueSec1 لبناء وكيل ذكاء اصطناعي للخط الأول في SOC.
• البنية: أربع مراحل.
• مهمة الوكيل: فرز التنبيهات بدلًا من محلل L1.
• الكاتب: اختصاصي منتجات في إدارة الثغرات الأمنية، بلا خبرة عملية في فرز التنبيهات.
• النتيجة: المركز الأول في المرحلة المفتوحة.
• التطور اللاحق: «أُلغيت» التقييمات، والتفاصيل في المقال الكامل.

ما الذي يمكن الاستفادة منه عمليًا؟

يمكن للفريق الذي يفكر في استخدام الذكاء الاصطناعي في SOC أن يخرج من هذه القصة بثلاثة دروس.

أولًا: جرّبوا الوكيل تجريبيًا على تنبيهات معروفة الحكم. فإذا كان فائز المرحلة المفتوحة قد يكون مبتدئًا، فينبغي أن تتحققوا على بياناتكم أيضًا مما إذا كان الوكيل يُكيَّف ليطابق الإجابة المتوقعة.

ثانيًا: انظروا إلى كيفية بناء التقييم. فترتيب واحد يقوم على التنبيهات المغلقة بشكل صحيح يخفي كلفة الخطأ. إذ إن الحادثة الفائتة والتصعيد الزائد لا يكلّفان المبلغ نفسه بأي حال، والمقياس النزيه يفصل بينهما.

ثالثًا: استخدموا الذكاء الاصطناعي للدخول إلى المجال كما فعل الكاتب. اطلبوا من النموذج أن يشرح كيف يتخذ المحلل قراره، ودوّنوا ذلك في تعليمات الوكيل. لكن منطق التصعيد النهائي يجب أن يعتمده شخص من SOC.

الرواية الكاملة عن المراحل الأربع وعمّا جرى للتقييمات متاحة في المقال الأصلي على Habr.