IBM Autonomous Security: داخل مركز العمليات الأمنية الوكيل المصمم لمجاراة هجمات بسرعة الآلة

لماذا غيّرت 27 ثانية اقتصاديات مركز العمليات الأمنية

بُني مركز عمليات الأمن التقليدي على محللين بشريين وطوابير تنبيهات متعددة المستويات. المحللون من المستوى الأول يفرزون، المستوى الثاني يحققون، المستوى الثالث يستجيبون. عمل النموذج حين كان الجناة يتحركون بسرعة بشرية — ساعات أو أيام بين الاختراق الأولي والتحركات الجانبية.

هذا النموذج بات منهاراً هيكلياً. كشفت أبحاث Mandiant 2026 أن أسرع وقت انتشار للمهاجم رُصد — المدة بين الاختراق الأولي وأول تحرك جانبي إلى نظام آخر — انخفض إلى 27 ثانية. متوسط انتشار eCrime بلغ 29 دقيقة، بتحسن سرعة 65% مقارنة بعام 2024. وجد تقرير IBM X-Force 2026 زيادة بنسبة 44% على أساس سنوي في استغلال التطبيقات المكشوفة على الإنترنت، مع 56% من الثغرات المُفصَح عنها لا تستلزم أي مصادقة للاستغلال.

لا يستطيع محلل بشري فرز وتحقيق واحتواء تهديد ينتقل من الوصول الأولي إلى التحرك الجانبي في 27 ثانية. يمتد فجوة الكشف-الاستجابة — الوقت بين إشارة أداة أمنية لشذوذ وتصرف محلل بشري — عادةً من 5 إلى 15 دقيقة في مراكز العمليات المحترفة. في مواجهة انتشار مدته 27 ثانية، تعني هذه الفجوة أن المهاجم موجود بالفعل على نظام ثانٍ قبل مراجعة أول تنبيه.

هذا هو الواقع التشغيلي الذي صُممت IBM Autonomous Security لمعالجته.

ما أعلنته IBM فعلياً في RSAC 2026

ضمّ إعلان IBM في RSAC 2026 عرضَين. الأول هو تقييم جديد للأمن السيبراني المؤسسي لتهديدات النماذج الحدودية — خدمة استشارية تُقدّمها IBM Consulting تحدد فجوات الأمان وضعف السياسات والتعرضات الخاصة بالذكاء الاصطناعي ومسارات الاستغلال، مع توجيه أولوي للمعالجة يشمل ضمانات مؤقتة حيث لا يوجد إصلاح برمجي فوري.

الثاني، والأكثر أهمية، هو IBM Autonomous Security ذاتها: خدمة متعددة الوكلاء تنشر وكلاء ذكاء اصطناعي منسّقين — موصوفين بـ”عمّال رقميين” — عبر المنظومة الأمنية الكاملة للمؤسسة. تحلّل المنصة التعرضات البرمجية وبيئات التشغيل، وتحدد مسارات الاستغلال، وتطبّق سياسات الأمان، وتكشف الشذوذات، وتحتوي التهديدات بـ”تدخل بشري أدنى”. صرّح المدير العالمي لخدمات الأمن السيبراني في IBM، Mark Hughes: “الهجوم المدعوم بالذكاء الاصطناعي يستدعي دفاعاً مدعوماً بالذكاء الاصطناعي. هذا ما تُقدّمه IBM.”

تدمج المنصة Autonomous Threat Operations Machine (ATOM) من IBM مع Charlotte AI من CrowdStrike من خلال شراكة موسّعة أُعلن عنها في RSAC. وصف Daniel Bernard، المدير التجاري في CrowdStrike، التكامل بأنه يُقدّم “تقنيتنا وخبراتهم وأيضاً تقنيتهم” لجعل مراكز العمليات الأمنية “جاهزة للعصر الوكيل”. نشرت IBM تنسيق مركز العمليات الأمنية الوكيل إلى جانب CrowdStrike لدى أكثر من 100 عميل مؤسسي وقت إعلان RSAC. أكد Hughes أن “الوظائف التقليدية التي يؤديها البشر — محللو المستوى الأول، وحتى محللو المستوى الثاني — تُستبدل الآن كلياً بهؤلاء العمّال الرقميين.”

ثلاثة إشارات مخفية في البنية

الإشارة 1: رقم “أكثر من 100 عميل” هو نقطة البيانات الرئيسية

مطالبة IBM بأكثر من 100 نشر مؤسسي قبل إعلان RSAC العلني أهم من الإعلان ذاته. معظم إطلاق منتجات الأمن يصف القدرات بصيغة المستقبل. IBM تصف منصة تعمل فعلياً بالحجم الكامل في بيئات إنتاج. هذا ينقل الفئة من “إعلان تقنية ناشئة” إلى “نموذج تشغيلي موثوق” — تمييز ذو معنى للمشترين المؤسسيين الذين يقيّمون الاستثمار في تحويل مركز العمليات الأمنية الوكيل.

حجم النشر يعني أيضاً بيانات. منصات الأمان الوكيلة تتحسن من خلال حلقات ردود الفعل من التحقيقات الحقيقية. أكثر من 100 نشر عميل تولّد تلمتري التهديدات وبيانات التحقق من التنبيهات وسجلات نتائج التحقيق التي تجعل صنع القرار المستقل أكثر موثوقية تدريجياً. بائعو الأمن الذين يدخلون هذا السوق دون قاعدة النشر تلك يواجهون مشكلة بداية باردة حلّها IBM بالفعل.

الإشارة 2: الحوكمة البشرية ميزة لا عيب

الشروط الثلاثة التي سمّاها Bernard من CrowdStrike لمراكز عمليات أمنية وكيلة فعّالة — الحوكمة البشرية في الحلقة التشغيلية، والرؤية عبر البيئات الموروثة، ومفتاح الأمان — تكشف التحدي المعماري الحقيقي. تثير الاستجابة الأمنية المستقلة كلياً أسئلة المسؤولية: إذا عزلت منصة وكيلة نظام إنتاج بشكل خاطئ بناءً على إنذار كاذب، من المسؤول؟

وجد تقرير السلامة الدولي للذكاء الاصطناعي 2026 أن “هجمات مستقلة من البداية للنهاية لم تُبلَّغ عنها” — ما يعني أن الهجمات الحالية المدفوعة بالذكاء الاصطناعي تتضمن أتمتة جزئية لا سلاسل هجوم مستقلة كلياً. تأطير IBM للحوكمة البشرية كمبدأ تصميم لا قيد يتناول هذا مباشرةً. متطلب مفتاح الأمان تحديداً هو اعتراف بأن الأنظمة المستقلة تحتاج إلى قدرة تجاوز يدوية لحالات الحافة حيث تنتج الاستجابة بسرعة الآلة نتائج خاطئة.

الإشارة 3: تهميش محللي المستوى 1 و2 هيكلي لا مؤقت

تصريح Hughes بأن أدوار محللي المستوى الأول والثاني “تُستبدل الآن كلياً بهؤلاء العمّال الرقميين” يصف تحولاً هيكلياً في نموذج القوى العاملة بمراكز العمليات الأمنية، ليس تخفيضاً دورياً. هذه أدوار المحللين المبتدئين والمتوسطين التي تمثل غالبية قوى العمل في مراكز العمليات الأمنية للمؤسسات الكبيرة. مسارات حياة المحللين الأمنيين الشباب الذين يدخلون المجال اليوم تختلف اختلافاً جوهرياً عمّا كان موجوداً عام 2022.

لا يعني ذلك تقليص فرق الأمن — تصف كلٌّ من IBM وCrowdStrike الإشراف البشري بأنه ضروري. يعني أن طبيعة العمل البشري في مركز العمليات الأمنية تتحول نحو: تصميم playbooks الاستجابة المستقلة، والتحقق من قرارات الذكاء الاصطناعي وتحسينها، وإدارة حالات الحافة وأنماط الهجوم الجديدة التي لا تستطيع الأتمتة التعامل معها، وإدارة إطار الحوكمة. يرتفع مجموعة المهارات المطلوبة نحو الهندسة المعمارية واستخبارات التهديدات والإشراف على أنظمة الذكاء الاصطناعي.

ما يعنيه ذلك لقادة أمن المؤسسات

1. قيّم فجوة الكشف-الاستجابة لديك مقابل معيار 27 ثانية

قبل الاستثمار في منصة مركز عمليات أمنية وكيل، قِس فجوة الكشف-الاستجابة الحالية لديك. يستلزم ذلك نقطتَي بيانات: متوسط وقت الكشف (من سجلات SIEM — كم يستغرق الوقت بين حدث أمني وتوليد تنبيه) ومتوسط وقت الاستجابة (من أنظمة التذاكر — كم يستغرق الوقت بين إنشاء تنبيه وتصرف محلل). إذا تجاوزت فجوتك المشتركة 15 دقيقة، فأنت معرّض هيكلياً لمتوسط انتشار eCrime الحالي البالغ 29 دقيقة. إذا تجاوزت 30 دقيقة، فأنت معرّض لمعظم الهجمات المدعومة بالذكاء الاصطناعي.

قاعدة القياس هذه ضرورية أيضاً لحساب العائد على الاستثمار في الأمان المستقل: قيمة المنصة الوكيلة هي تخفيض هذه الفجوة مضروباً في احتمال وتكلفة الحوادث التي تُتيحها الفجوة.

2. ابدأ بأتمتة Playbooks قبل الاستقلالية الكاملة

نموذج نشر IBM لدى أكثر من 100 مؤسسة إرشادي: ابدأ بأتمتة playbooks الاستجابة المحددة جيداً ومنخفضة المخاطر (عزل محطة عمل مخترقة، حجب عنوان IP، إلغاء رمز مصادقة) قبل نشر صنع القرار المستقل على الاستجابات المعقدة عالية المخاطر (عزل قاعدة بيانات إنتاج، إيقاف قطاع شبكة، إلغاء صلاحية جميع الجلسات). مفتاح الأمان الذي وصفه Bernard قدرة تريد فهمها قبل أن تحتاجها في أزمة.

نقطة البداية العملية هي تحديد 10 إلى 15 نوعاً من التنبيهات الأكثر تكراراً في SIEM لديك وخطوات الاستجابة التي ينفذها محللو المستوى الأول حالياً. هذه أعلى الأهداف عائداً للأتمتة — تكرار عالٍ، إجراء محدد جيداً، غموض منخفض. أنواع التنبيهات المعقدة والجديدة يجب أن تبقى في أيدٍ بشرية حتى يُثبت النظام المؤتمت أداءً موثوقاً على الحالات الأبسط.

3. استعد لتحوّل تركيبة المهارات قبل وقوعه

إذا كانت مسيرة نشر IBM دقيقة — وأكثر من 100 عميل مؤسسي يشير إلى ذلك — فإن تغيير تركيبة القوى العاملة في مراكز العمليات الأمنية سيصل إلى معظم المؤسسات الكبيرة خلال 24 إلى 36 شهراً. الانعكاس على قادة الأمن هو البدء في تطوير المهارات التي يتطلبها النموذج الجديد: الإشراف على أنظمة الذكاء الاصطناعي، وهندسة Playbooks، وصيد التهديدات للأنماط الجديدة، وتصميم إطار الحوكمة.

من حيث التوظيف، يعني ذلك أن الموجة القادمة من محللي مراكز العمليات الأمنية ينبغي أن يكون لديهم بعض التعرض لمفاهيم الذكاء الاصطناعي والتعلم الآلي إلى جانب مهارات الأمن التقليدية. قد يتقلص خط محللي المستوى الأول، لكن الطلب على صيادي التهديدات البارعين ومتخصصي حوكمة الذكاء الاصطناعي سيرتفع. المؤسسات التي تبدأ برامج إعادة التدريب الآن ستمتلك ميزة قوى عاملة حين تتسارع وتيرة التحول.

ما يأتي بعد ذلك

لن يظل نموذج مركز العمليات الأمنية الوكيل بين IBM وCrowdStrike ثنائياً. Microsoft Defender XDR وGoogle Chronicle Security Operations وPalo Alto Cortex XSIAM وSplunk جميعها تطوّر قدرات استجابة مستقلة. ستقود الديناميكية التنافسية إلى توحيد القدرات: توقّع أن يصبح عمق التكامل (كم من أدوات الأمان تستطيع المنصة الوكيلة تنسيقها) وسرعة الاستجابة (زمن الاستجابة بين الكشف وإجراء الاحتواء) مقاييس التمايز الأساسية خلال 12 إلى 18 شهراً.

مسار التهديدات الأساسي واضح: ستواصل أدوات الهجوم المدفوعة بالذكاء الاصطناعي ضغط أوقات انتشار الهجمات. 27 ثانية ليست الحد الأدنى — إنها معيار 2025 سيكون أقل في 2026 و2027. عمليات الأمان التي لم تبدأ الانتقال إلى الاستجابة بمساعدة الآلة ستواجه عيباً هيكلياً يتنامى مع كل تكرار لقدرات الذكاء الاصطناعي الهجومي.

أسئلة متكررة

المصادر والقراءات الإضافية

• IBM تعلن تدابير أمن سيبراني جديدة — IBM Newsroom
• الشركات تراهن على SOC الوكيل مع إعادة تشكيل الذكاء الاصطناعي للأمن — SiliconAngle
• CrowdStrike وIBM يوسّعان شراكة الأمن بالذكاء الاصطناعي — CrowdStrike
• IBM تروّج للأمن الوكيل مواجهةً لهجمات ذكاء اصطناعي أسرع — TechInformed
• حين يهاجم الذكاء الاصطناعي الذكاء الاصطناعي: هل يستطيع الأمن المستقل التفوق على التهديد؟ — TechHQ
• RSAC 2026 اليوم الأول: على الأمن التطور بسرعة وكيلة — Security Boulevard