در حالی که تمامی تیم‌های امنیتی به سمت پذیرش هوش مصنوعی سوق داده می‌شوند، تعداد کمی از آن‌ها با نحوه پیاده‌سازی عملی و کارآمد آن آشنا هستند. عامل‌های (Agents) آماده و آماده‌به‌کار ممکن است وظایف تعریف‌شده‌ای را انجام دهند، اما هیچ دو تیم امنیتی، فرآیندهای یکسانی ندارند. هر تیم دارای داده‌ها، دستورالعمل‌های عملیاتی (Playbooks)، مسیرهای ارجاع (Escalation paths) و میزان تحمل ریسک منحصربه‌فرد خود است؛ بافتار (Context) خاصی که هیچ راهکار بسته‌بندی‌شده‌ای نمی‌تواند آن را پیش‌بینی کند. این موضوع ضرورت ساخت عامل‌های سفارشی را برای هر تیم امنیتی نشان می‌دهد.
در هکاتون اخیر AgentWorks که با همکاری NVIDIA برگزار شد، تیم‌های امنیتی از سراسر جهان عامل‌های ساخته‌شده خود را معرفی کردند. این عامل‌ها با هدف رفع گلوگاه‌های مستمر در فرآیندهای امنیتی طراحی شده‌اند. در ادامه، برخی از برجسته‌ترین این عامل‌ها و الگوهای فنی آن‌ها بررسی می‌شود:
عامل Agent Smith: شناسایی سرورهای MCP پنهان
ابزارهای کدنویسی مبتنی بر هوش مصنوعی می‌توانند تنها با یک دستور، یک سرور MCP را روی لپ‌تاپ توسعه‌دهندگان راه‌اندازی کنند، در حالی که اکثر تیم‌های امنیتی فهرستی از این سرورها ندارند. عامل Agent Smith این نقاط کور را پوشش می‌دهد:
- عملکرد: جستجوی سرورهای MCP در نقاط انتهایی (Endpoints) و تطبیق آن‌ها با لیست مجاز سازمان.
- معماری فنی: تقسیم وظایف بین مدل هوش مصنوعی و ابزارهای قطعی (Deterministic tools) مانند کوئری‌ها و گردش‌های کاری (Workflows) برای افزایش دقت و کنترل هزینه‌ها.
- امنیت داده: استفاده از کوئری‌های پیش‌پردازش شده برای حذف داده‌های حساس قبل از ارسال به مدل هوش مصنوعی.
عامل Help Desk Takeover Defender: مقابله با سوءاستفاده از MFA
یکی از رایج‌ترین روش‌های مهاجمان، جعل هویت کارمند برای بازنشانی احراز هویت چندعاملی (MFA) است. این عامل می‌تواند فرآیند بررسی را از ۳۰ دقیقه به تنها ۷۰ ثانیه کاهش دهد:
- تحلیل خودکار: استخراج لاگ‌های Entra ID و داده‌های تله‌متری برای امتیازدهی به احتمال حمله مهندسی اجتماعی (Social Engineering).
- اقدامات کنترلی: در صورت تشخیص حمله، امکان لغو نشست‌ها (Sessions) یا غیرفعال کردن کاربر را فراهم می‌کند.
- حفظ نظارت انسانی: تمامی اقدامات کنترلی نیازمند تایید صریح تحلیلگر (Human-in-the-loop) است.
عامل Exclusion Adversary: تست خودکار قوانین امنیتی
استثناهای امنیتی (Exclusions) اگر بیش از حد باز باشند، می‌توانند به نقاط کور تبدیل شوند. این عامل با رویکردی متخاصم (Adversarial mindset) به بررسی خود می‌پردازد:
- تست نفوذ قوانین: عامل پس از نوشتن یک قانون استثنا، سعی می‌کند با استفاده از رشته‌های بای‌پس (Bypass strings)، آن را دور بزند تا از امنیت آن اطمینان حاصل کند.
- دقت بالا: جلوگیری از استفاده از الگوهای Wildcard که ممکن است باعث خاموش شدن هشدارهای مربوط به فایل‌های مخرب مشابه شود.
سایر کاربردهای عملیاتی عامل‌های هوش مصنوعی
- CQL Agent: اعتبارسنجی کوئری‌های امنیتی و اطمینان از صحت عملکرد قوانین تشخیص (Detection rules).
- TaHiTI Agent: خودکارسازی فرآیند شکار تهدید (Threat Hunting) بر اساس متدولوژی‌های ساختاریافته برای کمک به تحلیلگران سطح Junior.
- HOPSCOTCH Agent: بازسازی مسیر حرکت جانبی (Lateral Movement) یک هویت یا فرآیند در شبکه به صورت کرونولوژیک.
- EASM Heartbeat Agent: گزارش‌دهی روزانه از تغییرات در سطح حمله خارجی (External Attack Surface) و شناسایی پیکره‌های جدید با آسیب‌پذیری‌های بحرانی.
- Dysfunctional Family-Tree Agent: بررسی سلسله‌مراتب فرآیندها (Process Lineage) برای شناسایی حملات مبتنی بر LOLBin.
- Hall Pass Agent: مدیریت و بازبینی استثناهای امنیتی (Exemptions) که منقضی شده‌اند.
- SneakerNet Agent: پایش فعالیت‌های حساس روی درایوهای USB و SD Card بدون مسدود کردن جریان‌های کاری قانونی.
بهینه‌سازی از طریق ردپای عامل (Agent Traces)
یکی از کلیدی‌ترین نکات در توسعه عامل‌های موفق، استفاده از Agent Traces است. این قابلیت، رکورد گام‌به‌گام از ابزارهای فراخوانی شده، کوئری‌های ارسال شده و زمان مصرف شده را ارائه می‌دهد. تحلیل این ردپاها به توسعه‌دهندگان اجازه می‌دهد تا دقت عامل را افزایش و هزینه‌های عملیاتی (Credits consumption) را به شدت کاهش دهند.
