Greenlight закрывает 90% из 4000 security-кейсов в месяц агентами на AgentCore

Знакомая боль любой команды безопасности: алертов много, почти все рутинные, а проверять каждый приходится руками. В Greenlight Financial, который делает дебетовые карты для семей, SOC получает 3–4 тысячи сигналов в месяц. Один кейс о карте, найденной в даркнете, требует проверить статус карты, дубли уведомлений, сессии клиента и открытые тикеты. Это 15–30 минут на человека, и при таких объёмах схема просто не масштабируется.

Как устроена Luna

Команда построила иерархическую мультиагентную систему на Amazon Bedrock AgentCore и скопировала структуру живого SOC. Супервайзер первого уровня принимает кейсы через API Gateway (с MCP-эндпоинтом) или из Tines SOAR. Он выбирает из 30+ специализированных агентов нужных: идентификация и доступ, EDR, инвентарь активов, платежи, поддержка, threat intel и другие. Затем собирает находки и выносит вердикт. Медиана для рутинных кейсов — секунды.

Если уверенности не хватает, кейс уходит супервайзеру второго уровня. Он работает на модели с расширенным рассуждением, запускается по расписанию через EventBridge или срочно по запросу и сопоставляет 3–5 источников данных. На выходе отчёт с цепочкой доказательств для человека. Таких кейсов около 10%.

Память как главный множитель

Самое практичное в истории — слой памяти. Эпизодическая память хранит 30 дней решений. Пример из статьи: инфраструктурная роль каждый вторник в 3 часа ночи делает один и тот же доступ в рамках обслуживания. Без памяти агент флагует это каждую неделю, с памятью после первого разбора добавляет паттерн в allowlist.

Долгосрочная память хранит шаблоны решений и статистику вроде «у карт из этого источника 73% ложных срабатываний». Отдельный конвейер на Lambda и DynamoDB записывает исходы кейсов, а если кейс решён одинаково трижды, фиксирует подтверждённый паттерн. Именно это, по данным Greenlight, подняло автономность с 83% (только тир 1) до 90%+.

Расширение на финансовые риски

Через два месяца после запуска в SOC команда применила ту же архитектуру к риск-триажу. Добавили новых агентов (Galileo, fraud scoring) и риск-супервайзера, а Zendesk-агент и Mixpanel-агент переиспользовали. Рабочий процесс по карте из даркнета: проверка в процессинге, дедупликация, сверка сессий и тикетов, оценка риска. Низкий риск логируется, средний уходит на ревью, высокий эскалируется с доказательствами.

Что взять на заметку

Первое: начинайте с узкой области с чёткой метрикой успеха, «решил верно или эскалировал». Второе: копируйте оргструктуру людей, так команде проще доверять системе. Третье: сначала триаж, потом действия. Luna только рекомендует, а ремедиацию запускает человек или утверждённая политика, и это помогло пройти комплаенс.

Ограничения тоже есть. Это публикация в блоге AWS, цифры сообщает сама компания, а экономия описана как оценка: 900–1800 аналитических часов в месяц. Нет данных о доле ошибочных автоматических вердиктов и о стоимости инференса. Тем не менее паттерн тиров, памяти с дедупликацией и общих агентов можно переносить в любую поддержку, антифрод или DevOps-инциденты.