Staffcop анонсировал ИИ-инструменты для поиска событий и расследования инцидентов

Компания Staffcop, входящая в экосистему «Контур», анонсировала выпуск ИИ-инструментов для специалистов по информационной безопасности. Новые компоненты предназначены для поиска потенциально значимых событий в уже собранных данных и проверки гипотез при расследовании инцидентов. Об этом SecPost рассказали в компании.

Запрос можно будет сформулировать обычными словами, а система сможет искать не только точные совпадения, но и близкие по смыслу события. Как отмечается в сообщении компании, при расследовании ИБ-инцидента специалист не всегда заранее знает точные признаки, по которым нужно искать: факты, информацию, цифровые следы. Если они известны, их можно заложить в политики: задать ключевые слова и другие условия. Сложнее, когда есть только гипотеза, а нужный сигнал скрыт в большом массиве событий и его трудно заранее описать формальным набором правил.

Как сообщили в компании, для анализа данных появятся LLM-политики. Они смогут выделять в сообщениях темы, тональность, паттерны поведения, коммуникативные намерения и сущности. Помимо готовых сценариев, пользователи смогут создавать собственные политики и задавать модели инструкции под задачи конкретной компании.

Продолжение ниже

Работа с результатами будет организована через чат-бот. Система преобразует вопрос пользователя в запрос к данным Staffcop и формирует выдачу, из которой можно перейти к исходному событию и изучить его в контексте. Поиск не ограничивается буквальным совпадением слов — компонент может находить близкие по смыслу сообщения. Например, при поиске агрессивной коммуникации в выдачу могут попасть сообщения с соответствующими признаками, даже если в них нет очевидных слов-маркеров или ненормативной лексики.

В компании подчеркивают, что ИИ не будет самостоятельно определять, произошло нарушение или нет. Его задача — помочь сузить область поиска, найти потенциально значимые события и быстрее перейти к их проверке. Контекст найденного события и решение о подтверждении гипотезы об инциденте оценивает специалист по информационной безопасности.

Разработка ИИ-компонента началась в сентябре 2025 года. За это время команда Staffcop создавала MVP и прототипы, а также проверяла гипотезы вместе с одним из клиентов. Обратную связь заказчика использовали для доработки архитектуры и пользовательских сценариев.

На первом этапе ИИ-компонент позволит работать с темами, тональностью, паттернами поведения и коммуникативными намерениями. Команда также работает над преобразованием запросов на естественном языке в фильтры Staffcop. В дальнейшем планируется расширить поиск на другие типы событий, добавить группировку и агрегацию данных. Еще одно направление развития — суммаризация длинных обсуждений: модель сможет выделять основную тему и договоренности участников.

ИИ-компонент можно будет развернуть в инфраструктуре заказчика, в том числе в изолированном контуре при наличии необходимых вычислительных ресурсов. Архитектура позволяет подключать совместимые языковые модели, в том числе уже развернутые в инфраструктуре компании. Для разных задач можно будет использовать разные модели — например, одну для анализа данных, другую для работы чат-бота.

Требования к вычислительным ресурсам будут зависеть прежде всего от потока обрабатываемых данных. Короткое сообщение в мессенджере и письмо с длинной цепочкой переписки создают разную нагрузку, поэтому конфигурацию необходимо подбирать с учетом объема текста и необходимой скорости обработки.

ИИ-компонент планируется сделать доступным действующим клиентам Staffcop в тестовом режиме после выхода версии 5.9.