कृत्रिम बुद्धिमत्ता के प्रयोगों से लेकर स्वायत्त संचालन तक
– क्रिस्टोफ़ ब्रिगेट, वरिष्ठ उत्पाद प्रबंधन निदेशक – एआई और सुरक्षा विश्लेषण, स्टेलर साइबर
सैन जोस, कैलिफोर्निया – 28 अप्रैल, 2026
2026 की शुरुआत में कुछ बदल गया। धीरे-धीरे नहीं, बल्कि मानो अचानक से सब कुछ बदल गया।
वर्षों से हम एआई के बारे में बात करते आ रहे हैं SOC हम सेल्फ-ड्राइविंग कारों के बारे में जिस तरह से बात करते थे: हमेशा पाँच साल दूर, हमेशा "थोड़ा और डेटा चाहिए" वाली बात। फिर एमसीपी (मॉडल कॉन्टेक्स्ट प्रोटोकॉल) आया। फिर एजेंटिक फ्रेमवर्क डेमो से हटकर टूल बन गए। और अचानक सवाल यह नहीं रहा कि "क्या एआई सुरक्षा टीमों की मदद कर सकता है?" बल्कि यह हो गया कि "हमें इसे पहले क्या करने देना चाहिए?"
मुझे पता है क्योंकि मैं खुद एक चला रहा हूं।
एजेंटिक क्षेत्र में ऐसी अभूतपूर्व सफलता जिसकी किसी ने कल्पना भी नहीं की थी
यहां जो बदलाव आया है, वह यह है: एआई एजेंट अब एपीआई एक्सेस वाले चैटबॉट नहीं रह गए हैं, बल्कि वे वास्तविक सहकर्मी बन गए हैं, जो कल की बातें याद रखते हैं, आपके टूल्स का उपयोग करना जानते हैं और खुद कॉल कर सकते हैं।
एमसीपी, जिसे मूल रूप से एंथ्रोपिक द्वारा बनाया गया था और अब लिनक्स फाउंडेशन के अधीन है, ने हमें वह दिया जो हमारे पास पहले नहीं था: एआई एजेंटों के लिए वास्तविक प्रणालियों से जुड़ने का एक सार्वभौमिक तरीका। यह किसी कमजोर एकीकरण या कस्टम कोड के माध्यम से नहीं, बल्कि एक मानकीकृत प्रोटोकॉल के माध्यम से संभव हुआ है जो किसी भी एआई एजेंट को किसी भी टूल, किसी भी एपीआई, किसी भी प्लेटफॉर्म से संवाद करने की अनुमति देता है। इसे एआई के लिए यूएसबी की तरह समझें: एक नई क्षमता जोड़ें, और एजेंट बस उसका उपयोग करने लगेगा।
At स्टेलर साइबरहमने अपने प्लेटफ़ॉर्म में MCP सपोर्ट शामिल कर दिया है। अब एक AI एजेंट स्टेलर साइबर इंस्टेंस से कनेक्ट होकर तुरंत केस मैनेजमेंट तक पहुंच सकता है: केसों की सूची बनाना, MITRE मैपिंग और ऑब्ज़र्वेबल्स के साथ पूरी जांच जानकारी प्राप्त करना, स्थिति अपडेट करना और विश्लेषकों को असाइन करना। एक API कॉल से वह काम हो जाता है जो पहले आठ क्लिक और तीन टैब में होता था।
लेकिन एमसीपी सिर्फ एक कनेक्टर है। असली सफलता तो इसके ऊपर मौजूद चीज़ में है: एजेंटिक एआई जो संदर्भ को याद रखता है, कई चरणों वाले वर्कफ़्लो की योजना बनाता है और सत्रों के बीच आपकी ओर से कार्य करता है।
एक सप्ताह तक एआई एजेंट चलाने से मैंने क्या सीखा
- मैंने फ़ीचर क्षमताओं के बारे में ग्राहकों को दो ईमेल लिखे। 10 संदेशों वाली ईमेल थ्रेड से संदर्भ निकाला, नॉलेज बेस से मिलान किया और तकनीकी विवरण सही ढंग से लिखे।
- मैंने जीरा में एक टिकट फाइल किया। मैंने दो बार आवश्यक फ़ील्ड गलत भर दिए, फिर एपीआई को समझा और तीसरी कोशिश में सही कर लिया।
- सभी के कैलेंडर देखकर चार लोगों के बीच मीटिंग का समय निर्धारित किया। बुधवार सुबह एक खाली स्लॉट मिल गया।
- कॉन्फ्लुएंस और उससे संबंधित फिग्मा बोर्ड पर एक प्रोसेस डॉक्यूमेंट की समीक्षा की। पाँच ऐसी कमियाँ पाईं जिन पर किसी ने ध्यान नहीं दिया था।
- हमने एक ही कॉल में अपने स्टेलर साइबर एमसीपी सर्वर से 30,000 केस निकाले। इसमें पूर्ण एमआईटीआरई मैपिंग, ऑब्जर्वेबल्स और अन्य सभी जानकारी शामिल है।
- मैंने एक क्रॉन जॉब सेट अप किया है जो गूगल फॉर्म पर नए सबमिशन की निगरानी करेगा, अपने आप टिकट बनाएगा और कुछ आने पर मुझे सूचित करेगा। इसमें कोई कोड नहीं लगा। लगभग दस मिनट का समय लगा।
इसका दूसरा पहलू
अब बात थोड़ी असहज हो जाती है। मैंने अभी जो कुछ भी बताया? विरोधी भी ऐसा कर सकते हैं।
अगर कोई एआई एजेंट आपके टिकटिंग सिस्टम से जुड़ सकता है, आपके एस्केलेशन टिकट पढ़ सकता है, आपके नॉलेज बेस से मिलान कर सकता है और आपकी कमियों को समझ सकता है? तो यह उन सभी कमियों को दूर करने का एक आसान तरीका है जिनसे आप बचाव करने में कमजोर हैं। यही क्षमताएं जो बचावकर्ताओं को तेज बनाती हैं, हमलावरों को अधिक व्यवस्थित भी बनाती हैं।
एमसीपी एक दोधारी तलवार है। CrowdStrike एजेंटिक एआई डिप्लॉयमेंट को प्रॉम्प्ट इंजेक्शन और प्रिविलेज एस्केलेशन से सुरक्षित करने पर पहले से ही शोध प्रकाशित हो चुका है। हमले का दायरा सैद्धांतिक नहीं है। ये वही एकीकरण बिंदु हैं जो एजेंटों को उपयोगी बनाते हैं।
खतरे के परिदृश्य में बदलाव यह है: गति का लाभ जो SOC पहले से तय स्क्रिप्ट पर आधारित हमलों का चलन अब खत्म हो रहा है। एजेंटिक टूल्स वाले विरोधी अब ये कर सकते हैं:
- अपने विश्लेषकों द्वारा अलर्ट का वर्गीकरण करने से पहले ही अपने वातावरण की गणना तेजी से करें।
- ऐसा सोशल इंजीनियरिंग कंटेंट तैयार करें जो आपके संगठन के संदर्भ को ध्यान में रखते हुए बनाया गया हो।
- पार्श्व स्थानांतरण संबंधी निर्णयों को उसी प्रकार स्वचालित करें जिस प्रकार हम प्राथमिक उपचार संबंधी निर्णयों को स्वचालित करते हैं।
- जो रणनीति कारगर साबित हो रही है, उसके आधार पर वास्तविक समय में रणनीति में बदलाव करें।
स्वचालन के अनेक अवसर
1. मशीन की गति से अलर्ट और केस ट्राइएज
यह सबसे स्पष्ट उदाहरण है, और यहीं पर स्टेलर साइबर का अलर्ट ऑटो-ट्राइएज पहले से ही काम करता है। एजेंट प्रत्येक महत्वपूर्ण मामले के लिए वर्डिक्ट सिग्नल चेक चलाता है: आईपी प्रतिष्ठा, व्यवहार संबंधी विसंगतियाँ, संस्था संबंध और डिवाइस भेद्यता। फिर यह एक निर्णय देता है: ट्रू पॉजिटिव, बेनाइन, फॉल्स पॉजिटिव या अनिर्णायक।
इसमें नया है फीडबैक लूप। जब कोई विश्लेषक किसी निर्णय को बदलता है, तो वह बदलाव एक प्रशिक्षण संकेत बन जाता है। यह उस अस्पष्ट अर्थ में नहीं है कि "हम मॉडल को कभी न कभी फिर से प्रशिक्षित करेंगे"। बल्कि यह उस अर्थ में है कि "अगली बार जब यह पैटर्न दिखाई देगा, तो सिस्टम आपके निर्णय पर विचार करेगा"। टेस्ला एफएसडी मानवीय हस्तक्षेप से सीखता है। यह भी सीखता है।
एजेंटिक अनलॉक: एक एमसीपी-कनेक्टेड एजेंट अब केस के विवरण निकाल सकता है, बाहरी खतरे की जानकारी से सहसंबंध स्थापित कर सकता है, समान पैटर्न पर ऐतिहासिक निर्णयों की जांच कर सकता है और पूरी तरह से स्पष्ट ट्राइएज निर्णय दे सकता है, बिना किसी मानव द्वारा पांच टैब पर क्लिक किए।
2. प्रवेश और ऑनबोर्डिंग स्वचालन
अनुरोध एक फॉर्म के माध्यम से आते हैं। पहले, कोई व्यक्ति अनुरोध पढ़ता था, एक ट्रैकिंग टिकट बनाता था, आवश्यक शर्तें जांचता था और एक पुष्टिकरण ईमेल भेजता था। चार सिस्टम, तीन संदर्भ परिवर्तन, और एक व्यक्ति द्वारा मैन्युअल डेटा प्रविष्टि।
एक एजेंट निर्धारित समय पर डेटा स्रोत की निगरानी करता है। जब कोई नई प्रविष्टि आती है, तो वह पूरी संरचित जानकारी के साथ टिकट बनाता है, स्रोत को संदर्भ भेजता है और सारांश के साथ एक सूचना भेजता है। इसमें कोई मैन्युअल प्रक्रिया शामिल नहीं है।
एजेंटिक अनलॉक: यह पैटर्न किसी भी इनटेक प्रक्रिया पर लागू होता है। परीक्षण अनुरोध। अनुपालन संबंधी पूछताछ। सुरक्षा खामियों का खुलासा। ग्राहक की शिकायतों का समाधान। कोई भी वर्कफ़्लो जिसमें "स्रोत A से पढ़ें, सिस्टम B में बनाएं, चैनल C के माध्यम से सूचित करें" शामिल है, इसके लिए उपयुक्त है।
3. पता लगाने की गुणवत्ता प्रतिक्रिया लूप
यही वो चीज़ है जो मुझे सबसे ज़्यादा उत्साहित करती है। सुरक्षा विक्रेता कंपनियों के पास "यह डिटेक्शन ठीक से काम नहीं कर रहा है" जैसी शिकायतों का भारी-भरकम बैकलॉग जमा हो जाता है। शिकायतें अक्सर अस्पष्ट होती हैं। संदर्भ ईमेल थ्रेड्स और सपोर्ट टिकटों में छिपा रहता है। शिकायतों को छाँटने वाले व्यक्ति को समस्या को समझने के लिए उत्पाद का गहन ज्ञान होना ज़रूरी है।
आपके टिकटिंग सिस्टम, नॉलेज बेस और सुरक्षा प्लेटफॉर्म तक पहुंच रखने वाला एक एआई एजेंट, डिटेक्शन फीडबैक टिकट को पढ़ सकता है, वास्तविक अलर्ट डेटा निकाल सकता है, दस्तावेज़ों से मिलान कर सकता है और एक स्पष्ट सारांश तैयार कर सकता है: "यह नियम X में सबस्ट्रिंग मिलान के कारण हुई एक गलत पॉजिटिव रिपोर्ट है। रिपोर्टर ने इसका समाधान बता दिया है। यह सही क्वेरी है।"
एजेंटिक अनलॉक: एजेंट को एमसीपी के माध्यम से (अनुमति के साथ) रिपोर्टिंग वातावरण से कनेक्ट करें, और यह लाइव डेटा के आधार पर रिपोर्ट की गई समस्या का सत्यापन कर सकता है। अब और "क्या आप स्क्रीनशॉट भेज सकते हैं?" पूछने की ज़रूरत नहीं। अब तीन सप्ताह तक बार-बार बातचीत करने की ज़रूरत नहीं। एजेंट वही देखता है जो रिपोर्टर देखता है।
4. उपकरणों के बीच संबंध स्थापित करना
एक सुरक्षा संचालन प्रमुख का काम विभिन्न प्रणालियों के बीच संबंध स्थापित करना होता है। साझेदार जुड़ाव से संबंधित ईमेल चर्चा, किसी त्रुटि का पता लगाने से संबंधित शिकायत, प्रक्रिया से संबंधित विकी पृष्ठ, कार्यप्रवाह से संबंधित डिज़ाइन बोर्ड, बिक्री संबंधी चर्चा में मूल्य निर्धारण। ये सभी अलग-अलग उपकरणों में मौजूद होते हैं, लेकिन इनका आपस में कोई स्वचालित संबंध नहीं होता।
एक एआई एजेंट इन सभी का विश्लेषण करता है। उससे पूछिए, "इस पार्टनर के मुकदमे की स्थिति क्या है?" और वह ईमेल थ्रेड निकालता है, ट्रैकिंग टिकट की जाँच करता है, इनटेक फॉर्म पढ़ता है, और एक ही जवाब तैयार कर देता है। कोई टैब बदलने की ज़रूरत नहीं। कोई "मुझे जाँचने दीजिए" नहीं।
एजेंटिक अनलॉक: यहीं पर एमसीपी की खासियत सामने आती है। प्रत्येक सिस्टम एक एमसीपी सर्वर है। एजेंट को इस बात से कोई फर्क नहीं पड़ता कि डेटा ईमेल, जीरा या स्टेलर साइबर में है। यह उन सभी के साथ एक ही प्रोटोकॉल का उपयोग करता है।
5. अलर्ट थकान के बिना सक्रिय निगरानी
निगरानी का पारंपरिक तरीका या तो "हर चीज़ की लगातार जाँच करना" (महंगा और शोरगुल भरा) है या "किसी के ध्यान देने का इंतज़ार करना" (धीमा और जोखिम भरा)। एआई एजेंट एक तीसरा रास्ता पेश करते हैं: निर्धारित समय पर, बुद्धिमत्तापूर्ण जाँच करना और यह तय करना कि किस मामले को आगे बढ़ाना उचित है, मानव-स्तर का निर्णय लेना।
मेरा एजेंट समय-समय पर संचार चैनलों की जाँच करता है, लेकिन यह सिर्फ़ "आपके पास 15 अपठित संदेश हैं" जैसी रिपोर्ट नहीं देता। यह तात्कालिकता के आधार पर संदेशों को वर्गीकृत करता है, कार्रवाई योग्य बिंदुओं की पहचान करता है, अनावश्यक संदेशों को फ़िल्टर करता है, और मुझे तभी सूचित करता है जब वास्तव में किसी चीज़ पर ध्यान देने की आवश्यकता होती है। सुरक्षा निगरानी में भी यही प्रक्रिया लागू होती है: केस कतारों की जाँच करना, पता लगाने की क्षमता में विसंगतियों को चिह्नित करना, SLA उल्लंघनों की निगरानी करना। और जब सब कुछ सामान्य हो तो चुप रहना।
एजेंटिक अनलॉक: निर्धारित एजेंट मॉडल-स्तरीय अनुकूलन के साथ चलता है। नियमित जांच के लिए हल्के मॉडल का उपयोग करें, और जब स्थिति में निर्णय लेने की आवश्यकता हो तो अधिक सक्षम मॉडल पर जाएं। लागत-जागरूक स्वचालन।
6. प्रलेखन और ज्ञान संग्रहण
सुरक्षा टीमें भारी मात्रा में संस्थागत ज्ञान उत्पन्न करती हैं जिसे कभी दस्तावेज़ित नहीं किया जाता। वह विश्लेषक जिसे पता है कि किसी विशिष्ट फ़ायरवॉल विक्रेता की लॉग प्रविष्टियाँ अपेक्षा से भिन्न व्यवहार करती हैं? वह ज्ञान उनके दिमाग में तब तक रहता है जब तक वे कंपनी छोड़ नहीं देते।
एआई एजेंट इस जानकारी को वास्तविक समय में कैप्चर और व्यवस्थित कर सकते हैं। हर टिकट ट्राइएज, हर इंटरैक्शन, हर निर्णय एक स्थायी नॉलेज बेस में एक संरचित प्रविष्टि बन जाता है। एजेंट दैनिक नोट्स रखता है, अपने दीर्घकालिक मेमोरी को संक्षिप्त जानकारियों से अपडेट करता है, और नई जानकारी को अपने पूर्व ज्ञान से मिलाता है।
एजेंट की कार्यप्रणाली में सुधार: एजेंट जितना अधिक काम करता है, उतना ही अधिक ज्ञान प्राप्त करता है। डिटेक्शन टिकटों के एक समूह का विश्लेषण करने वाला एजेंट अब विक्रेता-विशिष्ट लॉग संबंधी खामियों, एकीकरण संबंधी जटिलताओं और पहचान सहसंबंध की कमियों को समझता है। अगली बार जब कोई संबंधित टिकट आता है, तो एजेंट उस आधार से शुरू करता है - शून्य से नहीं।
सुरक्षा टीमों के लिए इसका क्या मतलब है
सुरक्षा उद्योग ने पिछले एक दशक में पहचान के लिए आवश्यक तकनीक विकसित करने में अपना समय व्यतीत किया है। अगला दशक निर्णयों का है। कौन तय करेगा कि क्या वास्तविक है? कौन तय करेगा कि इसके बारे में क्या कार्रवाई की जाए? और ये निर्णय कितनी जल्दी लिए जा सकते हैं?
एजेंटिक एआई विश्लेषक की जगह नहीं लेता। यह विश्लेषक को अतिरिक्त लाभ प्रदान करता है। वही विश्लेषक जो पहले प्रतिदिन मैन्युअल रूप से 20 मामलों का विश्लेषण करता था, अब एजेंट द्वारा विश्लेषण किए गए 200 मामलों की समीक्षा कर सकता है, जिससे उसकी विशेषज्ञता उन क्षेत्रों पर केंद्रित हो जाती है जहां इसकी सबसे अधिक आवश्यकता है: जटिल मामले, नए हमले और वे निर्णय जो मशीनें अभी तक नहीं ले सकतीं।
जो विक्रेता अभी भी बंद एपीआई और एक बार में तैयार होने वाले एआई सारांशों के पीछे छिपे हुए हैं, वे पिछड़ जाएंगे। सफल होने वाले प्लेटफॉर्म वे होंगे जो एमसीपी जैसे प्रोटोकॉल के माध्यम से अपने एपीआई को खोलेंगे, ऐसे फीडबैक लूप बनाएंगे जो वास्तव में मानवीय निर्णयों से सीखते हैं, और एआई स्वचालन को सटीकता मेट्रिक्स, लागत नियंत्रण और शासन प्रणाली के साथ एक उत्पाद के रूप में मानेंगे।
हम स्टेलर साइबर में इस पर काम कर रहे हैं। एमसीपी सर्वर चालू है। अलर्ट ऑटो-ट्राइएज प्रोडक्शन में है। और मेरे पास एक एआई एजेंट है जिसने अभी-अभी यह ब्लॉग पोस्ट लिखा है।
खैर, ज्यादातर हिस्सा।
