Sophos сократил время расследования киберугроз на 96% с OpenAI Daybreak

Sophos сообщает, что с помощью OpenAI Daybreak сократил время расследования киберугроз на 96% и автоматизировал 52% кейсов в своём сервисе MDR (managed detection and response). Если взять цифру буквально, расследование теперь занимает 4% прежнего времени, то есть примерно в 25 раз меньше. Человеческий надзор при этом сохранён: аналитики остаются в контуре принятия решений. Данные опубликованы в блоге OpenAI 9 октября 2026 года.

Что именно ускорили

MDR — это услуга, при которой команда аналитиков вендора круглосуточно разбирает сигналы тревоги в инфраструктуре клиентов. Самая затратная часть работы — расследование. Нужно собрать телеметрию с конечных точек и из сети, сопоставить события во времени, понять, перед нами атака или шум, и решить, что делать дальше. Эта рутина давно упирается в нехватку специалистов и объём алертов. По описанию кейса, именно здесь Daybreak и даёт выигрыш.

Важна и вторая цифра. 52% автоматизированных кейсов означают, что примерно каждый второй случай в MDR проходит путь, в котором основную работу выполняет система, а не человек.

Ключевые метрики

• Время расследования киберугрозы: −96%.
• Доля автоматизированных MDR-кейсов: 52%.
• Модель работы: автоматизация с сохранением человеческого надзора.
• Источник: блог OpenAI, история клиента Sophos.

Чего в публикации не хватает

Это клиентский кейс на площадке поставщика технологии, и читать его стоит соответственно. В доступном описании нет нескольких вещей, без которых цифры сложно сравнивать с чем-либо.

Первая — база. Неясно, 96% считаются от среднего времени расследования, от медианы или от отдельных типов кейсов. Вторая — определение «автоматизирован». Это может быть полностью закрытый кейс без участия человека, а может быть подготовленный разбор, который аналитик только подтверждает. Третья — качество. Скорость без данных о пропущенных угрозах и ложных срабатываниях в безопасности мало что доказывает. Здесь она измеряется ценой ошибки, а не секундами.

Не раскрыта и архитектура: как Daybreak встроен в рабочие процессы Sophos и какие действия он вправе выполнять сам. Эти детали определяют, насколько опыт можно повторить.

Как читать такие цифры

Только по одной цифре 96% судить рано. Для MDR-провайдера важнее 52%: именно охват определяет, сколько кейсов система берёт на себя и как меняется нагрузка на аналитиков. Если автоматизация затрагивает половину потока, высвобожденное время можно направить на сложные инциденты, где нужен человек.

Для тех, кто выбирает MDR-услугу или оценивает ИИ для собственного SOC, полезно задать вендору несколько конкретных вопросов:

• От какого значения считается сокращение времени и на каких типах кейсов?
• Какие шаги система выполняет сама, а какие требуют подтверждения аналитика?
• Как измеряются пропущенные угрозы и ложные срабатывания до и после внедрения?
• Кто отвечает за решение, если автоматический вывод оказался неверным?

Главное в кейсе Sophos то, что ИИ описан как ускоритель работы аналитиков, а не их замена. Для отрасли, где ошибка стоит дорого, такая формулировка выглядит реалистичнее лозунгов о полной автономии. Проверять её придётся независимыми замерами, а не пресс-релизами.