SOC الوكيلي في 2026: كيف تسرّع وكلاء الذكاء الاصطناعي الدفاع السيبراني وأين تصبح الاستقلالية خطرة

Agentic SOC هو نموذج لمركز مراقبة الأمن لا يكتفي فيه وكلاء الذكاء الاصطناعي بتقديم اقتراحات للمحلل، بل يجمعون السياق بأنفسهم، ويُثرون الحوادث بالمعلومات، ويقترحون خطوات الاستجابة. يَعِد هذا النهج بإزاحة الأعمال الروتينية عن كاهل فرق SOC، لكنه يفتح في الوقت نفسه مجموعة جديدة من المخاطر، بدءًا من العزل الخاطئ للمضيفات ووصولًا إلى الهجمات عبر السياق الخبيث.

كيف يتغير SOC

مرّ SOC خلال السنوات الأخيرة بتطور واضح المعالم: من التحليل اليدوي للتنبيهات إلى دليل الإجراءات (playbooks) والتكاملات وسلاسل الإجراءات الآلية. ويضيف Agentic SOC إلى ذلك طبقة من الاستدلال. فالوكيل لا ينتظر سيناريو مبرمجًا مسبقًا لكل حالة، بل يقرر بنفسه أي البيانات يستدعي، وأي الأنظمة يستعلم منها، وكيف يربط الإشارات، وأي خيارات الاستجابة يبدو الأكثر معقولية.

يعمل داخل هذا النموذج عادةً عدة أدوار: وكيل يفرز الحوادث، وآخر يُثري الأحداث، وثالث يعدّ التوصيات، ورابع يجمع ملخصًا للمحلل البشري. لكن الاستقلالية هنا يجب ألا تتحول إلى حرية بلا حدود. فالبنية السليمة تُبنى حول مصادر بيانات محددة بدقة، وأدوات ضيقة النطاق، وطبقة سياسات تجيب عن سؤال: ما المسموح للوكيل فعله أصلًا؟ وبدلًا من وصول واسع إلى البنية التحتية، تُمنح الوكيل وظائف محددة: وضع وسم، أو فتح تذكرة، أو طلب تأكيد، أو جمع الأدلة الرقمية، أو عزل عقدة وفق إجراء معتمد فقط. وفي جميع الإجراءات المحفوفة بالمخاطر يبقى الإنسان داخل حلقة اتخاذ القرار.

أين تكمن الفائدة

أهم مكسب في Agentic SOC هو سرعة الفرز الأولي وجمع السياق. فحيث كان المحلل يتنقل يدويًا بين SIEM وEDR وIAM وCMDB ونظام التذاكر وقاعدة بيانات threat intelligence، يستطيع الوكيل خلال ثوانٍ جمع مجموعة مترابطة من الوقائع وتحويلها إلى ملخص واضح. وهذا مفيد بصورة خاصة للفرق التي تغرق في التنبيهات المتكررة والضوضاء والبيانات غير المكتملة. فيقضي الإنسان وقتًا أقل في النسخ واللصق، ووقتًا أكبر في اختبار الفرضيات وتقدير المخاطر واتخاذ القرار النهائي.

• ربط الأحداث المتصلة عبر عدة أنظمة
• استدعاء مالك الأصل وتاريخ الحوادث المشابهة والسياق التقني
• إعداد مسودة تقرير وتوصيات بشأن إجراءات الاستجابة
• تنفيذ إجراءات خفيفة مثل إنشاء حالة (case) أو إخطار المالك أو طلب التأكيد

يعمل هذا النهج بأفضل صورة في مراكز SOC المتوسطة والكبيرة، وكذلك لدى مزودي خدمات الأمن المُدارة (managed security)، حيث بات تدفق الحالات أكبر من أن تستوعبه المعالجة الأولية اليدوية. لكن هناك تحفظًا مهمًا: لا يحقق Agentic SOC نتائج إلا حيث يسود النظام في بيانات القياس عن بُعد والحسابات وقاعدة التكوين وسيناريوهات الاستجابة. أما إذا كانت العمليات فوضوية، فلن يصلح الوكيل الفوضى، بل سيبدأ بتسريعها.

أين لا يجوز الوثوق

أخطر سيناريو هو منح الوكيل استقلالية مفرطة. فخطأ في المطابقة، أو تشبيه غير موفق بحالة سابقة، أو مبالغة في تقدير الخطر، قد يدفع النظام إلى عزل مضيف خاطئ، أو حظر حساب خاطئ، أو تعطيل سير عمل الأعمال. وهذا حرج بالنسبة إلى SOC: فالاستجابة الخاطئة تصبح بحد ذاتها حادثًا. لذلك يجب أن تُوسَّع أي استقلالية تدريجيًا: يبدأ الأمر بوضع القراءة والتلخيص، ثم توصيات دون تنفيذ، ثم إجراءات خفيفة منخفضة المخاطر فقط، وبعد ذلك فحسب إجراءات استجابة محدودة وفق قواعد صارمة.

«Agentic SOC ليس لعبة جديدة للعروض التقديمية، وليس بديلًا عن المحللين».

المشكلة الكبرى الثانية هي الوثوق بأتمتة «ذكية» من دون قابلية رصد كاملة. فبإمكان المهاجم أن يدسّ نصًا خبيثًا في البيانات، فيزحزح استنتاجات الوكيل ويحصل على توصية خطرة. وهذه مسألة prompt injection والسياق المسموم. ولا يقل عن ذلك خطرًا وهم السيطرة، حين يظن الفريق أن ما دام الوكيل يراقب كل شيء، فالنظام تحت الإشراف. أما عمليًا فالمطلوب عكس ذلك تمامًا: سجلات إجراءات غير قابلة للتعديل، وإدارة إصدارات للموجّهات (prompts)، ومراقبة للأدوات المستخدمة، ونقاط موافقة، وتقييد صارم للأسرار وللوصول إلى سطر الأوامر.

ماذا يعني ذلك

لا يبدو Agentic SOC بديلًا عن المحللين، بل واجهة جديدة بين البشر وبيانات القياس عن بُعد والأتمتة. وهو فرصة لفرق أمن المعلومات لتقليص الروتين بشكل حاد وتسريع الاستجابة الأولية، لكن بشرط واحد: أن تُدخَل الاستقلالية على مراحل، وأن يُصمَّم أمن الوكيل نفسه بالصرامة ذاتها التي تُحمى بها بقية البنية التحتية.