Agent streszczający alert i agent zamykający sprawę bezpieczeństwa dostarczają inne produkty. Drugi może usunąć pracę z kolejki analityka, ale musi wyjaśnić, jakie dowody pozwalają na jakie działanie. Studium Sophos Daybreak łączy szybkość z odpowiedzialnością, pozostawiając ważne pytania o niezawodność.
Sophos podaje około 89 sekund na badanie i reakcję w sprawach obsługiwanych przez agentów wobec wcześniejszych około 38 minut oraz 52 procent spraw MDR rozwiązywanych przez AI od początku do końca. Dane firmowe nie dowodzą zamykania każdego incydentu w 89 sekund. Te same liczby pojawiły się w maju 2026; opis OpenAI z października dodaje szczegóły wdrożenia, a nie zupełnie nowy pomiar.
Ustal jednostkę pracy
Zapytaj, kiedy startuje zegar: surowy alert, skorelowana sprawa, uruchomienie agenta czy kontrola analityka? Zapytaj też o koniec. Odizolowanie zainfekowanego urządzenia nie musi oznaczać pełnej naprawy, odtworzenia ani usunięcia wszystkich ścieżek dostępu. Porównanie ma sens przy jednakowym początku, zakończeniu i kategoriach spraw.
Agenci Sophos działają po filtrowaniu i korelacji telemetrii, nie niezależnie na wszystkich surowych zdarzeniach. System zbiera kontekst klienta, detekcje, wskaźniki i wiedzę o zagrożeniach, a potem planuje, wykonuje i sprawdza. Rzetelna telemetria i dojrzałe procedury są częścią wyniku. Wewnętrzny zespół nie dziedziczy tych warunków przez zakup tego samego modelu.
Powiąż zgodę klienta z działaniem
Sophos opisuje trzy tryby. Notify bada i rekomenduje, klient działa. Collaborate oznacza wspólne decyzje. Authorise pozwala Sophos reagować w uzgodnionych granicach. Reguły obowiązują ludzi i agentów; szybki werdykt nie może po cichu rozszerzać zgody klienta.
Wymagaj macierzy działań obejmującej odwracalność, wpływ biznesowy, dane i obowiązkową eskalację. Znane powtarzalne sprawy mogą działać pod nadzorem bez zgody na każdy krok; nowe wzorce, ryzykowne decyzje i brak kontekstu wymagają człowieka bezpośrednio. Pozostałe 48 procent nie musi być porażką automatyzacji: mogą to być właśnie trudne sprawy ekspertów.
Łącz zamknięcia z korektami
Ani skrócenie czasu o 96 procent, ani zamykanie 52 procent nie ujawnia fałszywych alarmów, przeoczeń, wznowień, cofnięć klientów i poprawek analityków. Żądaj tych miar według kategorii, nie tylko łącznie. Mniej automatyzacji może wynikać z ostrzejszych zasad lub trudniejszej pracy, nie gorszego produktu.
Próbkuj automatycznie zamknięte sprawy i testuj wrogie dowody, niepełną telemetrię i legalną administrację przypominającą atak. Ustalenia modelu wymagają zweryfikowanego wsparcia przed istotną akcją. Recenzent potrzebuje czasu, dowodów i prawa do zatrzymania reakcji. Człowiek gdzieś w procesie nie zapobiega rutynowej akceptacji ani nadmiernemu zaufaniu do automatyzacji.
Pilotuj ograniczone wyniki przed rozszerzeniem praw
Wybierz częste sprawy z jasnymi dowodami, odwracalną reakcją i dojrzałą eskalacją. Porównaj całkowitą pracę analityków, jakość detekcji, niepotrzebne zakłócenia, wznowienia i odzyskiwanie z obecnym procesem. Zachowaj dowody, operacje narzędzi, właściciela decyzji i zgodę klienta do późniejszej rekonstrukcji.
Oprócz wydajności sprawdzaj miejsce przetwarzania, retencję, dostęp komponentów modelu i umowy z dostawcami telemetrii. Rozszerzaj zastosowania wraz z oceną, wycofaniem i odpowiedzialnym zatwierdzeniem. Standardem zakupowym nie jest najwyższy procent autonomicznych zamknięć, ale właściwe zamknięcie przy określonym ryzyku, mierzalnych błędach i jasnej odpowiedzialności za złą reakcję.