Daybreak zkrátil rozbor malwaru ze 4 až 6 týdnů na 8 hodin

SentinelOne uvádí, že OpenAI Daybreak vytvořil výstup na úrovni lidského reverse engineeringu složitého malwaru přibližně za 8 hodin. Špičkovému výzkumníkovi má stejný typ práce trvat 4 až 6 týdnů. Tvrzení pochází z případové studie OpenAI a SentinelOne, nikoli z nezávislého testu.

Osm hodin mění výběr vzorků, ne jen rychlost jednoho rozboru

Reverse engineering rozebírá software, aby určil jeho chování, vazby a škodlivé funkce. SentinelOne dříve vyhrazoval hluboký rozbor jen malému počtu nejzajímavějších hrozeb. Daybreak má uvolnit kapacitu pro více vzorků.

Větší objem může odhalit společné komponenty mezi zdánlivě nesouvisejícími kampaněmi. Praktická hodnota tedy neleží pouze v rychlejším reportu. Spočívá v širší mapě, ze které mohou analytici vybírat nové stopy.

Bezpečnostní tým získává násobič, ale také novou kontrolní frontu

Pokud se údaj 8 hodin opakuje, vzácný seniorní specialista už nemusí provádět každý krok ručně. Může zadat cíl, kontrolovat důkazy a soustředit se na místa, kde se mění detekce, incident response nebo architektura produktu.

SentinelOne zároveň mluví o zpřístupnění odbornosti širšímu týmu. To má organizační dopad: juniornější pracovník může rozjet vyšetřování, ale odpovědnost za závěr zůstává u člověka. Rychlejší první výstup totiž vytváří i více materiálu, který musí někdo ověřit.

Případová studie měří čas, nikoli spolehlivost

OpenAI nezveřejnil počet vzorků, skladbu testu, chybovost ani způsob, jakým se posuzovala lidská úroveň výstupu. Není zřejmé, kolik zásahů experta proběhlo před finálním reportem. Bez těchto údajů je rozdíl mezi 4 až 6 týdny a 8 hodinami silný provozní signál, ale ne obecně platná garance.

Samotný SentinelOne u dlouhých autonomních vyšetřování upozorňuje, že i nejsilnější modely dělají sémantické chyby, přijímají slabé kontroly a hlásí dokončení předčasně. U škodlivého kódu může přesvědčivě napsaná chyba poslat obranu špatným směrem.

O přínosu rozhodne počet správně uzavřených případů

Další měření musí spojit čas s přesností, počtem lidských oprav, cenou a podílem vyšetřování, která vedla k použitelné detekci. Důležitý bude také výkon na zabalených, klamavých a dosud neznámých vzorcích, ne pouze na dobře připravených případech.

Nejlepší signál přijde z provozu: více potvrzených vazeb mezi vzorky, kratší doba k nasazení detekce a auditní stopa, ve které lze dohledat, co navrhl model a co schválil analytik.

Lilithin verdikt

Daybreak může analytikovi za jednu směnu položit na obrazovku práci na několik týdnů. Bez člověka, který pozná falešnou stopu, ale jen vyrábí omyly rychlostí výrobní linky.