Ein Agent, der einen Alarm zusammenfasst, und einer, der einen Sicherheitsfall abschließt, liefern unterschiedliche Produkte. Letzterer kann Arbeit aus der Analystenwarteschlange nehmen, muss aber erklären, welcher Beleg welche Handlung erlaubt. Sophos' Daybreak-Fallstudie verbindet Geschwindigkeit mit Verantwortung und lässt zugleich wichtige Zuverlässigkeitsfragen offen.
Sophos meldet rund 89 Sekunden für Untersuchung und Reaktion agentenbearbeiteter Fälle gegenüber zuvor etwa 38 Minuten und 52 Prozent vollständige KI-Abschlüsse im Managed Detection and Response. Unternehmensangaben beweisen nicht, dass jeder Kundenvorfall nach 89 Sekunden erledigt ist. Dieselben Werte erschienen bereits im Mai 2026; OpenAIs Oktoberbericht ergänzt Einsatzdetails statt einer völlig neuen Messung.
Die Arbeitseinheit festlegen
Fragen Sie nach dem Start der Uhr: Rohalarm, korrelierter Fall, Agentenaktivierung oder Analystenprüfung? Ebenso wichtig ist das Ende. Einen kompromittierten Endpunkt einzudämmen bedeutet nicht vollständige Behebung, Wiederherstellung oder Entfernung aller Zugangswege. Geschwindigkeit ist nur bei gleichen Start-, Stopp- und Zulassungskriterien vergleichbar.
Sophos' Agenten arbeiten nach Filterung und Korrelation der Telemetrie, nicht eigenständig über sämtliche Rohereignisse. Das System sammelt Kundenkontext, Erkennungen, Indikatoren und Bedrohungswissen und plant, handelt und überprüft. Verlässliche Telemetrie und ausgereifte Playbooks gehören zum Ergebnis. Ein internes Team erbt diese Betriebsbedingungen nicht einfach durch Kauf desselben Modells.
Kundenerlaubnis auf Agentenaktionen abbilden
Sophos beschreibt drei Modi: Notify untersucht und empfiehlt, der Kunde handelt. Collaborate trifft Handlungsentscheidungen gemeinsam. Authorise erlaubt Sophos Reaktionen innerhalb vereinbarter Grenzen. Die Regeln gelten für Menschen und Agenten gleichermaßen; ein schnelles Urteil darf Kundenerlaubnis nicht unbemerkt erweitern.
Verlangen Sie eine Aktionsmatrix für Umkehrbarkeit, Geschäftsauswirkung, Datenzugriff und zwingende Eskalation. Bekannte Wiederholungsfälle können beaufsichtigt ohne Einzelgenehmigung laufen; neue Muster, folgenreiche Entscheidungen und fehlender Geschäftskontext benötigen direkte Beteiligung. Die übrigen 48 Prozent sind nicht automatisch Automationsversagen, sondern können gerade die schwierigen Expertenfälle umfassen.
Abschlussquoten mit Korrekturen verbinden
Weder 96 Prozent Zeitersparnis noch 52 Prozent Abschluss nennen Fehlalarme, übersehene Bedrohungen, wiedereröffnete Fälle, Kundenrücknahmen oder Analystenkorrekturen. Fordern Sie diese Werte nach Fallkategorie statt nur aggregiert. Weniger Automation kann strengere Sicherheitsgrenzen oder schwierigere Arbeit bedeuten und muss kein schlechteres Produkt anzeigen.
Prüfen Sie Stichproben automatischer Abschlüsse und testen Sie gegnerische Belege, lückenhafte Telemetrie und legitime, angriffsähnliche Verwaltung. Modellbefunde brauchen validierte Belege vor folgenreichen Aktionen. Ein Prüfer benötigt Zeit, Evidenz und Befugnis zum Stoppen. Irgendwo einen Menschen einzufügen verhindert weder gewohnheitsmäßige Freigabe noch Automationsbias.
Begrenzte Ergebnisse vor mehr Befugnissen testen
Wählen Sie häufige Fälle mit klaren Belegen, reversiblen Reaktionen und gereiften Eskalationsregeln. Vergleichen Sie Gesamtaufwand, Erkennungsqualität, unerwünschte Störungen, Wiedereröffnung und Wiederherstellung mit dem bisherigen Prozess. Halten Sie Belege, Werkzeugaktionen, Entscheidungsverantwortung und Kundenfreigabe für spätere Rekonstruktion fest.
Prüfen Sie Verarbeitungsort, Aufbewahrung, Modellkomponentenzugriff und Drittanbieter-Telemetrieverträge zusätzlich zur Leistung. Erweitern Sie nur mit passender Bewertung, Rückrollmöglichkeit und verantwortlicher Freigabe. Der Kaufmaßstab ist nicht die höchste autonome Abschlussquote, sondern angemessener Abschluss bei definiertem Risiko, messbaren Fehlern und einem klaren Verantwortlichen bei falscher Reaktion.