Staffcop анонсировал выпуск ИИ-инструментов для анализа событий и расследования ИБ-инцидентов

На конференции «Совершенно безопасно» Staffcop, входящий в экосистему Контур, анонсировал новые ИИ-инструменты для специалистов по информационной безопасности. Они помогут быстрее находить потенциально значимые события в уже собранных Staffcop данных и проверять гипотезы при расследовании инцидентов. Запрос можно будет сформулировать обычными словами, а система сможет искать не только точные совпадения, но и близкие по смыслу события. Тестирование новой функциональности для действующих клиентов планируется начать после выхода Staffcop 5.9.

При расследовании ИБ-инцидента специалист не всегда заранее знает точные признаки, по которым нужно искать: факты, информацию, цифровые следы. Если они известны, их можно заложить в политики: задать ключевые слова и другие условия. Сложнее, когда есть только гипотеза, а нужный сигнал скрыт в большом массиве событий и его трудно заранее описать формальным набором правил.

Новые ИИ-инструменты Staffcop позволят начинать поиск с такой гипотезы. Например, можно будет попросить систему найти сообщения с признаками давления на собеседника, показать события по определенной теме за выбранный период или сообщения с угрожающей тональностью. Запрос формулируется обычными словами, после чего специалист сможет перейти от результатов поиска к конкретным событиям в Staffcop.

Для анализа данных в Staffcop появятся LLM-политики. Они смогут выделять в сообщениях темы, тональность, паттерны поведения, коммуникативные намерения и сущности. Помимо готовых сценариев, пользователи смогут создавать собственные политики и задавать модели инструкции под задачи конкретной компании — например, искать определенные модели поведения или выделять отдельные категории событий.

Работать с результатами можно будет через чат-бот. Например, запросить сообщения за прошлую неделю по определенной теме или найти сообщения с признаками агрессии. Система преобразует вопрос в запрос к данным Staffcop и формирует выдачу. Из нее можно будет перейти к исходному событию и изучить его в контексте.

При этом поиск не ограничивается буквальным совпадением слов. Компонент может находить близкие по смыслу сообщения, поэтому сможет находить близкие по смыслу сообщения. Например, при поиске агрессивной коммуникации в выдачу могут попасть сообщения с соответствующими признаками, даже если в них нет очевидных слов-маркеров или ненормативной лексики. Такой подход позволяет искать сигналы, которые сложно заранее описать набором ключевых слов.

ИИ не будет самостоятельно определять, произошло нарушение или нет. Его задача — помочь сузить область поиска, найти потенциально значимые события и быстрее перейти к их проверке. Контекст найденного события и решение о том, подтверждается ли гипотеза об инциденте, оценивает специалист по информационной безопасности.

Даниил Бориславский
Директор по продукту Staffcop, эксперт Контур.Эгиды

При расследовании далеко не всегда можно заранее составить полный набор правил, который приведет к нужному событию. Иногда у безопасника сначала есть только гипотеза, которую нужно проверить на большом массиве данных. Мы хотим сократить этот путь: дать возможность поставить Staffcop задачу обычными словами, найти связанные с ней события и уже дальше разбираться с ними в контексте. ИИ здесь не расследует инцидент вместо специалиста, а помогает быстрее понять, куда смотреть.

Разработка ИИ-компонента началась в сентябре 2025 года. За это время команда Staffcop создавала MVP и прототипы и проверяла гипотезы вместе с одним из клиентов. Обратную связь заказчика использовали для доработки архитектуры и пользовательских сценариев.

На первом этапе ИИ-компонент позволит работать с темами, тональностью, паттернами поведения и коммуникативными намерениями. Команда также работает над преобразованием запросов на естественном языке в фильтры Staffcop. В дальнейшем планируется расширить поиск на другие типы событий, добавить группировку и агрегацию данных. Еще одно направление развития — суммаризация длинных обсуждений: модель сможет выделять основную тему и договоренности участников.

ИИ-компонент можно будет развернуть в инфраструктуре заказчика, в том числе в изолированном контуре при наличии необходимых вычислительных ресурсов. Архитектура позволяет подключать совместимые языковые модели, в том числе уже развернутые в инфраструктуре компании. Для разных задач можно будет использовать разные модели — например, одну для анализа данных, другую для работы чат-бота.

Требования к вычислительным ресурсам будут зависеть прежде всего от потока обрабатываемых данных. Короткое сообщение в мессенджере и письмо с длинной цепочкой переписки создают разную нагрузку, поэтому конфигурацию необходимо подбирать с учетом объема текста и необходимой скорости обработки.

ИИ-компонент планируется сделать доступным действующим клиентам Staffcop в тестовом режиме после выхода версии 5.9. Для участия в тестировании необходимо будет обратиться к персональному менеджеру.