जब कोई विक्रेता कहता है “एआई-संचालित SOC, " इनका अर्थ ऐतिहासिक अलर्ट डेटा पर प्रशिक्षित एक बुनियादी मशीन लर्निंग मॉडल से लेकर एक पूर्णतः स्वायत्त एजेंट तक कुछ भी हो सकता है जो मानवीय हस्तक्षेप के बिना समस्याओं का वर्गीकरण, जांच और प्रतिक्रिया करता है। दोनों का विपणन एक समान तरीके से किया जाता है।
वर्तमान में जो कुछ भी बेचा जाता है, उसका अधिकांश भाग "ऐ SOC प्रतिनिधि" यह तीन श्रेणियों में से किसी एक में आता है, और उनमें से केवल एक ही इस श्रेणी में आने के योग्य है। पहला एक चैटबॉट है जिसमें सुरक्षा संबंधी विशेषताएं हैं। यह एक बड़ा भाषा मॉडल (एलएलएम) है जो आपके कंप्यूटर से जुड़ा हुआ है। SIEM यह अलर्ट से संबंधित सामान्य भाषा के प्रश्नों का उत्तर दे सकता है। यह कोई कार्रवाई नहीं करता, न ही कई चरणों वाली जांच करता है, और न ही आपके परिवेश से सीखता है। यह एक क्वेरी इंटरफ़ेस है, स्वचालन नहीं।
दूसरा एक स्टैटिक प्लेबुक इंजन है जिसे एआई का लेबल दिया गया है। स्वचालित वर्कफ़्लो और रिस्पॉन्स प्लेबुक वास्तव में उपयोगी हैं, लेकिन कुछ विक्रेताओं ने अपने मौजूदा ऑटोमेशन को "एजेंटिक" का नाम दे दिया है क्योंकि प्लेबुक में अब एक एलएलएम चरण शामिल है जो अंत में सारांश तैयार करता है। ऑर्केस्ट्रेशन तो वास्तविक है, लेकिन "एजेंट" का लेबल अक्सर वास्तविक नहीं होता।
तीसरा है वास्तविक एजेंटिक स्वचालन, एक ऐसी प्रणाली जो संदर्भ में संकेतों का विश्लेषण कर सकती है, उन्हें विभिन्न क्षेत्रों में सहसंबंधित कर सकती है, महत्वपूर्ण चीजों को प्राथमिकता दे सकती है और परिभाषित सीमाओं के भीतर प्रतिक्रियात्मक कार्रवाई शुरू कर सकती है, जबकि उच्च जोखिम वाले निर्णयों के लिए मनुष्यों को भी शामिल रखती है।
मार्केटिंग का यही मतलब होना चाहिए। कुछ प्लेटफॉर्म एकीकृत डेटा के आधार पर वर्षों से इसे विकसित कर रहे हैं, लेकिन इस चलन को अपनाने वाले अधिकांश विक्रेता उन आर्किटेक्चर पर इस लेबल को जबरदस्ती थोप रहे हैं जो इसके लिए कभी डिज़ाइन ही नहीं किए गए थे।
वे पाँच सवाल जो वेपरवेयर का पर्दाफाश करते हैं
किसी भी उत्पाद को खरीदने से पहले, जिस पर "एआई एजेंट" लिखा हो, ये पाँच प्रश्न पूछें। इनके उत्तर आपको बताएंगे कि आप वास्तविक क्षमता देख रहे हैं या सिर्फ मार्केटिंग का झांसा।
1. क्या यह सारांश प्रस्तुत करने से अधिक कुछ कर सकता है?
अलर्ट का सारांश देने वाला चैटबॉट उपयोगी तो है, लेकिन यह बुनियादी आवश्यकता नहीं है। असली सवाल यह है कि क्या एआई विभिन्न क्षेत्रों में संकेतों को आपस में जोड़ सकता है, जोखिम के आधार पर मामलों को प्राथमिकता दे सकता है और विश्लेषक को कार्रवाई करने के लिए आवश्यक संपूर्ण संदर्भ प्रदान कर सकता है। यदि "एजेंट" केवल वही दोहराता है जो आपका SIEM मैंने आपको पहले ही बता दिया है, इससे कार्यभार कम नहीं हो रहा है।
2. क्या यह आपके पूरे स्टैक पर काम करता है?
अधिकांश विक्रेता-विशिष्ट "एआई एजेंट" केवल अपने उत्पादों से डेटा देखते हैं। यदि आपका एआई एंडपॉइंट अलर्ट के बारे में समझ सकता है, लेकिन नेटवर्क ट्रैफ़िक, पहचान संबंधी घटनाओं और क्लाउड टेलीमेट्री से अनजान है, तो यह समस्या का केवल एक छोटा सा हिस्सा ही हल कर रहा है। वास्तविक खतरे विक्रेता की सीमाओं का सम्मान नहीं करते, और न ही आपके स्वचालन को करना चाहिए।
3. क्या यह अपने तर्क को स्पष्ट कर सकता है?
यदि आपका एआई एजेंट किसी घटना को गंभीर बताता है, लेकिन उस निष्कर्ष तक पहुंचने वाले साक्ष्यों की श्रृंखला नहीं दिखा पाता, तो आपके विश्लेषक इसकी पुष्टि नहीं कर सकते और आपके लेखा परीक्षक इसकी समीक्षा नहीं कर सकते। एक ऐसा ब्लैक बॉक्स जो सिर्फ "मुझ पर भरोसा करो" कहता है, वह काम नहीं कर सकता।
4. गलत होने पर क्या होता है?
हर एआई सिस्टम गलतियाँ करेगा। क्या यह कम भरोसेमंद फैसलों को मानवीय समीक्षा के लिए चिह्नित करता है? क्या इसमें ऐसे सुरक्षा उपाय हैं जो बिना मंजूरी के विनाशकारी कार्यों को रोकते हैं? ग्रेविटी स्टेट ऑफ एआई एजेंट सिक्योरिटी 2026 रिपोर्ट मिली केवल 14.4% संगठन ही यह रिपोर्ट करते हैं कि सभी एआई एजेंट पूरी सुरक्षा और आईटी अनुमोदन के साथ लाइव हो गए हैं।
5. यह वास्तव में कौन सा डेटा देखता है?
यदि यह किसी एक स्रोत से अलर्ट प्राप्त कर रहा है SIEM लेकिन नेटवर्क प्रवाह, पहचान लॉग, ईमेल इवेंट या क्लाउड ऑडिट ट्रेल की जानकारी न होने के कारण, यह अधूरी जानकारी के आधार पर निर्णय ले रहा है।
वास्तविक एआई-संचालित क्या है SOC स्वचालन ऐसा दिखता है
मार्केटिंग और वास्तविकता के बीच का अंतर AI को प्रभावित नहीं करता है। SOC यह बेकार है। इसका मतलब है कि उद्योग तीन अलग-अलग चीजों को मिला रहा है, और तीनों का अपना महत्व है, बस वे एक ही चीज नहीं हैं।
कृत्रिम बुद्धिमत्ता (AI) की सहायता से की जाने वाली क्वेरी विश्लेषकों को प्राकृतिक भाषा के माध्यम से तेजी से उत्तर प्राप्त करने में मदद करती है। इससे समय की बचत होती है, लेकिन कार्यभार कम नहीं होता क्योंकि विश्लेषक को अभी भी जांच-पड़ताल करनी होती है, निर्णय लेना होता है और कार्रवाई करनी होती है।
कृत्रिम बुद्धिमत्ता (AI) से प्रेरित पहचान, स्रोत पर ही अलर्ट की गुणवत्ता में सुधार करने के लिए मशीन लर्निंग का उपयोग करती है। सहसंबंध इंजन संबंधित अलर्ट को मामलों में समूहित करते हैं, व्यवहार मॉडल विचलन को चिह्नित करते हैं, और प्राथमिकता प्रणाली वास्तव में महत्वपूर्ण संकेतों को सामने लाती है। आज अधिकांश वास्तविक मूल्य यहीं निहित है, और यह वर्षों से बिना किसी "एजेंट" लेबल के चुपचाप बेहतर होता रहा है।
कृत्रिम बुद्धिमत्ता द्वारा संचालित स्वचालन एक ऐसा क्षेत्र है जहाँ एजेंट जांच-पड़ताल करते हैं, प्रतिक्रियात्मक कार्रवाई करते हैं और समय के साथ विश्लेषकों की प्रतिक्रिया से सीखते हैं। यह संभव है, लेकिन अभी प्रारंभिक चरण में है, और जो प्लेटफ़ॉर्म इसे सफलतापूर्वक लागू कर रहे हैं, वे मानवीय हस्तक्षेप के साथ सावधानीपूर्वक काम कर रहे हैं।
हाल का उद्योग अनुसंधान एक अध्ययन में पाया गया कि केवल 14% सुरक्षा पेशेवर ही एआई को स्वतंत्र रूप से सुधारात्मक कार्रवाई करने की अनुमति देते हैं। SOC इसमें किसी इंसान का कोई दखल नहीं है। यह आंकड़ा आपको उद्योग की वास्तविक स्थिति के बारे में सब कुछ बता देता है।
जिन संगठनों को वास्तविक परिणाम मिल रहे हैं, उन्होंने सबसे पहले अपने डेटा को एकीकृत किया, बेहतर सहसंबंध के माध्यम से अलर्ट की अनावश्यकता को कम किया और एक स्पष्ट सिग्नल के ऊपर स्वचालन को लागू किया। क्रम महत्वपूर्ण है।
डेटा एकीकरण एआई से पहले क्यों आता है?
यदि आपका डेटा दर्जनों अलग-अलग डेटा मॉडल वाले दर्जनों सुरक्षा टूल में बिखरा हुआ है, तो किसी भी प्रकार की एआई से मूल समस्या का समाधान नहीं हो पाएगा। आप अलग-अलग कंसोल में फैली हुई आक्रमण श्रृंखला का विश्लेषण नहीं कर सकते। किसी भी सार्थक एआई स्वचालन के लिए, एंडपॉइंट, नेटवर्क, पहचान, ईमेल और क्लाउड टेलीमेट्री को एक ही डेटा मॉडल में एकीकृत करना आवश्यक है।
इसीलिए स्टेलर साइबर ने अपना निर्माण किया। Open XDR यह प्लेटफॉर्म आपके मौजूदा सुरक्षा सिस्टम को बदलने के बजाय, सैकड़ों स्रोतों से डेटा को सामान्यीकृत और समृद्ध करता है, फिर बहु-स्तरीय AI का उपयोग करके व्यक्तिगत अलर्ट को MITRE ATT&CK फ्रेमवर्क के अनुरूप जांच के लिए तैयार मामलों में सहसंबंधित करता है। सहसंबंध स्वचालित रूप से होता है, जिससे समय की बचत होती है, न कि चैटबॉट द्वारा एक-एक करके अलर्ट का सारांश देने से।
वर्जन 6.3 के साथ, स्टेलर साइबर ने एजेंटिक एआई क्षमताओं का विस्तार किया है, जिन्हें वह वर्षों से विकसित कर रहा है। इसमें केस सारांश शामिल हैं जो स्वचालित रूप से बताते हैं कि क्या हुआ, यह क्यों महत्वपूर्ण है और निष्कर्ष का समर्थन करने वाले साक्ष्य क्या हैं। साथ ही, स्वचालित ईमेल फ़िशिंग ट्राइएज भी है जो हमलों को बढ़ने से पहले ही पकड़ लेता है। ये कोई नए ट्रेंड को फॉलो करने वाले फीचर्स नहीं हैं। ये शुरुआत से ही एकीकृत डेटा फाउंडेशन पर एआई विकसित करने का परिणाम हैं।
ग्राहकों का कहना है कि समस्या का पता लगाने में लगने वाले औसत समय में 8 गुना और प्रतिक्रिया देने में लगने वाले औसत समय में 20 गुना सुधार हुआ है। ऐसा इसलिए नहीं हुआ कि उन्होंने किसी खराब कार्यप्रणाली में चैटबॉट जोड़ दिया, बल्कि इसलिए हुआ क्योंकि उन्होंने पहले डेटा को एकीकृत किया और एआई को पूरी जानकारी के साथ काम करने दिया।
ईमानदार परिपक्वता मॉडल
यदि आप एआई का मूल्यांकन कर रहे हैं SOC क्षमताओं के बारे में, विक्रेताओं द्वारा प्रचारित 'सब कुछ या कुछ नहीं' के दृष्टिकोण को अपनाने के बजाय, चरणों में सोचें।
पहला चरण डेटा का एकीकरण है। अपने सभी टेलीमेट्री डेटा को एक मानकीकृत डेटा मॉडल के साथ एक ही प्लेटफॉर्म पर लाएँ। इससे मैन्युअल सहसंबंध का वह काम खत्म हो जाएगा जो आपके विश्लेषकों का अधिकांश समय बर्बाद करता है।
दूसरा चरण एआई-आधारित पहचान और सहसंबंध है। डेटा के एकीकृत होने के बाद, मशीन लर्निंग स्वचालित रूप से संबंधित अलर्ट को मामलों में समूहित कर सकती है, जोखिम के आधार पर प्राथमिकता दे सकती है और उन घटनाओं को उजागर कर सकती है जिन्हें वास्तव में मानवीय ध्यान की आवश्यकता है।
तीसरा चरण सीमित स्वचालन है। विशिष्ट, सुस्पष्ट कार्य जिन्हें एआई विश्वसनीय रूप से संभाल सकता है: खतरे की जानकारी के साथ अलर्ट को समृद्ध करना, जांच सारांश तैयार करना, फ़िशिंग ईमेल का वर्गीकरण करना। किसी भी विनाशकारी कार्य के लिए मानव हस्तक्षेप आवश्यक है।
चौथा चरण अनुकूली स्वचालन है। यह प्रणाली समय के साथ विश्लेषकों के निर्णयों से सीखती है, जहां इसकी स्वायत्त क्षमताएं विश्वसनीय साबित होती हैं वहां उनका विस्तार करती है और मानव समीक्षा के लिए नई स्थितियों को चिह्नित करती है। उद्योग इसी दिशा में आगे बढ़ रहा है, लेकिन यह मान लेना कि हम पहले से ही वहां पहुंच चुके हैं, इस काम में लगी टीमों के साथ अन्याय होगा।
अधिकांश विक्रेता आपको चौथा चरण बेचना चाहते हैं, लेकिन अधिकांश सुरक्षा टीमों ने पहला चरण भी पूरा नहीं किया है।
निष्कर्ष और आगे के कदम
एआई SOC एजेंट के बारे में जो चर्चा हो रही है, वह गलत या बुरी नहीं है, बस अभी शुरुआती दौर में है। तकनीक वास्तविक है, दिशा सही है, और संभावनाएं अपार हैं, लेकिन कॉन्फ्रेंस डेमो और वास्तविक उत्पादन के बीच का अंतर अभी भी बहुत बड़ा है। इस अंतर को पाटने के लिए पहले कुछ बुनियादी समस्याओं को हल करना आवश्यक है: डेटा का एकीकरण, अलर्ट का सहसंबंध, और स्पष्ट सीमाओं के साथ मापा गया स्वचालन।
यदि आप प्लेटफ़ॉर्मों का मूल्यांकन कर रहे हैं, तो मार्केटिंग की भाषा को नज़रअंदाज़ करें और इस बात पर ध्यान केंद्रित करें कि वास्तव में समस्या का पता लगाने और प्रतिक्रिया देने में लगने वाले औसत समय को क्या कम करता है। वादों के बजाय सबूत मांगें।
क्या आप एकीकृत सुरक्षा को व्यवहार में देखना चाहते हैं?
यदि आप RSAC 2026 में भाग ले रहे हैं, तो बूथ 327 पर अवश्य पधारें। डेमो के लिए साइन अप करें या पकड़ो निःशुल्क एक्सपो पास कोड 52E1069XP के साथ।
