アラートを要約するエージェントと、安全案件を完結するエージェントは別の製品です。後者は分析担当の待ち行列を減らせますが、どの証拠でどの操作を許すかを説明しなければなりません。Sophos の Daybreak 事例は、速度を運用責任と結び付ける点で有用な一方、重要な信頼性の問いを残します。
Sophos はエージェントが扱う案件の調査と対応が従来平均約 38 分から約 89 秒になり、管理型検知・対応案件の 52% を AI が最初から最後まで解決すると報告します。企業の数値であり、全顧客の全事件が 89 秒で閉じる証明ではありません。同じ数値は 2026 年 5 月にも公表され、10 月の OpenAI 事例は新測定ではなく配備詳細を追加しています。
作業の単位を固定する
時計の開始点を尋ねます。生アラート、相関済み案件、エージェント起動、分析者確認のどれでしょうか。終了点も重要です。一台の侵害端末の隔離は、修復、復旧、全侵入経路の除去とは限りません。開始点、停止条件、対象案件分類が一致するときだけ速度を比較できます。
Sophos のエージェントは、遠隔測定を絞り込み相関した後で動き、すべての生イベントを独力で扱いません。顧客文脈、検知、指標、脅威情報を集め、計画・実行・再検討の循環に進みます。良いデータと成熟した手順書も結果の一部です。社内安全チームが同じモデルを買うだけで同条件を得るとは限りません。
顧客の許可を操作に対応させる
対応方式は三つです。Notify は調査と提案までで顧客が実行します。Collaborate は共同で判断します。Authorise は合意範囲で Sophos が対応できます。人かエージェントかにかかわらず同じ規則であり、早い判定で顧客の許可をひそかに広げてはいけません。
可逆性、業務影響、データアクセス、必須の人への移管を示す操作表を求めます。既知の反復案件は毎段階の承認なしに監督下で動かせても、新しいパターン、高リスク判断、業務文脈不足には人の直接関与が必要です。残り 48% は自動化の失敗ではなく、専門判断を要する難しい案件かもしれません。
完結率と修正率を組にする
時間 96% 削減と完結 52% は、誤検知、見逃し、再開案件、顧客による取消、分析者の訂正を示しません。総計だけでなく分類別に求めます。自動化比率が低いのは厳格な安全基準や難しい負荷による場合があり、劣った製品とは限りません。
自動完結案件を抽出して再検査し、敵対的証拠、不完全なデータ、攻撃に似た正当な管理作業を試します。モデルの発見には、重要操作の前に検証可能な裏付けが必要です。担当者には止める時間、証拠、権限が必要で、人がどこかにいるだけでは習慣的承認や自動化バイアスを防げません。
権限拡大の前に限定成果を試す
件数が多く、証拠が明確で、対応が可逆的であり、人への移管が成熟した案件を選びます。総分析工数、検知品質、不必要な停止、再開、復旧を現行手順と比較します。終了後も再構成できるよう証拠、ツール操作、判断担当、顧客承認を残します。
性能だけでなく処理場所、保存、モデル部品のアクセス、外部データ契約も調べます。評価、ロールバック、責任ある承認を伴うときだけ用途を広げます。購入基準は最高の自律完結率ではありません。定義したリスクで適切に完結し、誤りを測れ、対応が間違った際の責任者が明確なことです。