Лаборатория Касперского: потоковый ML-конвейер обнаруживает 467 000 новых киберугроз в сутки + ИИ-аналитик Kira
Автоматизированный ML-конвейер Касперского ежедневно детектирует и классифицирует около 467 000 новых вредоносных объектов в сутки (рост на 14% год к году), при этом более 99,9% потока обрабатывается без участия вирусных аналитиков.
| Компания и отрасль | Лаборатория Касперского (Kaspersky) — Cybersecurity |
|---|---|
| Стек моделей и ИИ | Behavioral ML Engine · Gradient Boosted Trees · Deep Threat Clustering · Kaspersky Security Network (KSN) · Kira LLM SOC Assistant · KUMA SIEM / XDR |
| Хронология внедрения | 2018–2022 — промышленный запуск поведенческих ML-моделей и облачного кластера KSN; 2023–2024 — внедрение нейросетевого антифишинга и запуск ИИ-ассистента Kira в Threat Intelligence и XDR/SIEM; 2025–2026 — выход на 467 000+ детектируемых новых угроз в сутки и развитие агентной автоматизации SOC. |
| Верификация | Проверено 2026-10 · 3 первоисточн. |
Контекст и масштаб бизнеса
«Лаборатория Касперского» — один из мировых лидеров в области информационной безопасности и защиты корпоративных инфраструктур (XDR, MDR, SIEM, Threat Intelligence), защищающий более 400 миллионов пользователей и свыше 220 000 корпоративных клиентов по всему миру.
Масштаб современного потока вредоносного ПО давно перешагнул возможности ручного сигнатурного анализа: по официальной статистике компании за 2024–2025 годы, системы телеметрии фиксируют в среднем 467 000 новых уникальных вредоносных файлов каждые сутки (более 5 новых сэмплов каждую секунду).
Чтобы противостоять автоматизированным атакам, полиморфным шифровальщикам и целевому фишингу, компания построила многоступенчатую воронку машинного обучения (от легковесных моделей на конечном устройстве до облачного кластера Kaspersky Security Network) и встроила генеративного ИИ-ассистента Kira в продукты для центров мониторинга (SOC).
Бизнес-проблема и узкие места
Первая проблема информационной безопасности — жёсткая асимметрия цены ошибки. В отличие от рекомендаций кино или рекламы, в антивирусном и EDR-движке ложное срабатывание (false positive) на системном или бизнес-файле может остановить работу тысяч рабочих станций банка или завода, а пропуск (false negative) — привести к шифрованию всей сети.
Вторая проблема — состязательная среда (adversarial ML): авторы вредоносного ПО целенаправленно упаковывают и обфусцируют код, а также используют легитимные системные утилиты (Living-off-the-Land / LotL), чтобы обойти статические детекторы.
Третий вызов — дефицит и выгорание аналитиков SOC (Security Operations Center): специалистам первой и второй линии приходится ежедневно разбирать тысячи сложных командных строк PowerShell/Bash, корреляционных сработок SIEM и индикаторов компрометации (IoC).
Архитектура и внедрение ИИ-решения
Архитектура детекции построена как эшелонированный ML-конвейер. На пре-фазе (до запуска файла) и непосредственно на узле работают сверхбыстрые ансамбли решающих деревьев над тысячами статических признаков исполняемого файла. Если файл запускается, вступает поведенческий ML-движок (Behavior Detection): нейросети и градиентный бустинг анализируют последовательность системных вызовов, обращения к памяти и реестру в реальном времени, блокируя шифровальщик в первые миллисекунды попытки модификации файлов и откатывая изменения.
В облаке Kaspersky Security Network (KSN) потоковые модели кластеризации и глубокого обучения обрабатывают миллионы анонимизированных метаданных в секунду, автоматически выпуская микрообновления правил и весов для всей глобальной базы клиентов за считанные минуты после первой встречи новой угрозы.
Для аналитиков SOC в платформы KUMA (SIEM), Kaspersky Symphony XDR и портал Threat Intelligence встроен генеративный ИИ-помощник Kira: он декодирует и объясняет обфусцированные скрипты атак, переводит запросы на естественном языке в поисковые правила корреляции и формирует структурированные карточки инцидентов.
“«В кибербезопасности нельзя полагаться только на одну большую модель: защита строится как эшелонированная оборона, где быстрые детерминированные и бустинговые модели ловят угрозу за миллисекунды на хосте, а LLM помогает аналитику SOC мгновенно понять замысел атакующего». — Эксперты Лаборатории Касперского
Измеримый результат и экономика
Автоматизированный ML-конвейер Касперского ежедневно детектирует и классифицирует около 467 000 новых вредоносных объектов в сутки (рост на 14% год к году), при этом более 99,9% потока обрабатывается без участия вирусных аналитиков.
Использование поведенческих моделей и облачной репутации KSN позволяет перехватывать неизвестные ранее штаммы шифровальщиков и эксплойтов со сверхнизким уровнем ложных срабатываний, что регулярно подтверждается первыми местами в независимых тестах AV-Comparatives и SE Labs.
Внедрение ИИ-ассистента Kira в рабочих процессах SOC сократило время первичного триажа инцидентов и разбора сложных командных строк на 35–50%, снизив порог входа для младших аналитиков безопасности.
Уроки для индустрии
В задачах с экстремальной ценой ложного срабатывания (EDR/антивирус) каскад из лёгких статика-моделей и поведенческого анализа в рантайме надёжнее монолитной нейросети.
Статический анализ файла мёртв против бесфайловых и LotL-атак — решающий вклад даёт ML по последовательностям системных событий ОС.
В SOC генеративный ИИ даёт максимальный ROI на расшифровке обфусцированных командных строк и генерации поисковых запросов SIEM.
Глобальная обратная связь телеметрии (KSN) превращает атаку на одного клиента в иммунитет для всех остальных за минуты.
Верифицированные первоисточники
- Securelist / Kaspersky Security Bulletin: статистика киберугроз (467 000 новых вредоносных файлов в день) и технологии машинного обучения ↗
- Kaspersky Symphony XDR, KUMA и ИИ-ассистент Kira для аналитиков SOC ↗
- Как устроено машинное обучение в детекции вредоносного ПО и анализе телеметрии в Лаборатории Касперского ↗
Вопросы и ответы по материалу
Почему нельзя просто отправлять каждый подозрительный файл в большую языковую модель?
На конечном устройстве решение о блокировке процесса должно приниматься за единицы миллисекунд без нагрузки на процессор пользователя и даже при отключённом интернете. Поэтому на хосте работают компактные ансамбли деревьев и поведенческие модели, а LLM используется в SOC для разбора сложных инцидентов.
Как ИИ-ассистент Kira защищает конфиденциальные данные корпоративного SOC?
Ассистент работает в защищённом контуре продуктов Касперского, обезличивает чувствительные идентификаторы инфраструктуры и обучен специально на базе знаний киберугроз и документации SIEM/XDR.
Что делает поведенческая модель, если шифровальщик уже успел испортить первые файлы?
Как только поведенческий ML-движок фиксирует аномальную цепочку шифрования, процесс принудительно завершается, а подсистема System Watcher автоматически восстанавливает затронутые файлы из защищённого теневого буфера.
Внедряйте ИИ быстрее рынка вместе с инженерами и фаундерами
Внутри Vibe Club (hamidun.com/club): еженедельные живые мастермайнды и разборы архитектуры с Жемалом Хамидуном, закрытый Tech Radar, LMS и обновляемая база из 370+ боевых скиллов.
Главное из мира ИИ — раз в неделю
7 ключевых событий недели, отобранных вручную. Без шума, репостов и пресс-релизов.
Готово! Проверьте почту — мы отправили подтверждение.