Daybreak skrócił analizę malware z 4 do 6 tygodni do 8 godzin

SentinelOne twierdzi, że OpenAI Daybreak przygotował wynik na poziomie ludzkiego reverse engineeringu złożonego malware w około 8 godzin. Czołowemu badaczowi podobna praca może zająć 4 do 6 tygodni. Dane pochodzą z case study OpenAI i SentinelOne, a nie z niezależnego testu.

Osiem godzin zmienia dobór próbek, a nie tylko tempo raportu

Reverse engineering rozkłada oprogramowanie na części, by ustalić jego działanie, powiązania i szkodliwe funkcje. SentinelOne wcześniej rezerwował głęboką analizę dla niewielkiej liczby najważniejszych zagrożeń. Daybreak ma zwolnić zasoby na kolejne próbki.

Większa skala może ujawnić wspólne komponenty w pozornie niezależnych kampaniach. Wartość praktyczna wykracza więc poza szybszy raport. Analitycy dostają szerszą mapę nowych tropów.

Zespół bezpieczeństwa dostaje mnożnik i nową kolejkę kontroli

Jeśli wynik 8 godzin okaże się powtarzalny, rzadki senior nie będzie musiał ręcznie wykonywać każdego kroku. Może wyznaczać cel, sprawdzać dowody i skupiać się na decyzjach wpływających na detekcję, incident response lub architekturę produktu.

SentinelOne przedstawia też system jako sposób na udostępnienie wiedzy szerszemu zespołowi. Mniej doświadczona osoba może rozpocząć dochodzenie, ale człowiek nadal odpowiada za wniosek. Szybszy pierwszy wynik tworzy również więcej materiału do weryfikacji.

Case study mierzy czas, lecz nie niezawodność

OpenAI nie podaje liczby próbek, konstrukcji testu, błędów ani kryterium ludzkiego poziomu. Nie wiadomo też, ile interwencji eksperta poprzedziło końcowy raport. Przejście z 4 do 6 tygodni do 8 godzin jest zatem mocnym sygnałem operacyjnym, a nie ogólną gwarancją.

Własne badania SentinelOne nad długimi dochodzeniami pokazują, że nawet najmocniejsze modele popełniają błędy semantyczne, akceptują słabe kontrole i zbyt wcześnie ogłaszają koniec pracy. W analizie malware płynnie napisany błąd może skierować obronę na fałszywy trop.

Wartość pokaże liczba poprawnie zamkniętych spraw

Kolejne pomiary powinny łączyć czas z trafnością, liczbą poprawek człowieka, kosztem oraz odsetkiem dochodzeń prowadzących do użytecznej detekcji. Ważne będą próbki spakowane, mylące i wcześniej nieznane, a nie tylko przygotowane demonstracje.

Najlepszy sygnał da praktyka: więcej potwierdzonych powiązań, szybsze wdrożenie detekcji i ślad audytowy pokazujący propozycje modelu oraz decyzje analityka.

Werdykt Lilith

Daybreak może w ciągu jednej zmiany wyświetlić analitykowi pracę z kilku tygodni. Bez człowieka, który rozpozna fałszywy trop, produkuje jednak pomyłki w tempie taśmy montażowej.