Агенти Greenlight самі закривають понад 90% алертів безпеки
Greenlight Financial отримує 3–4 тис. алертів безпеки й ризику на місяць: картки клієнтів у даркнеті, аномалії доступу, підозрілі транзакції. Аналітик витрачає на один кейс 15–30 хв. Їхня система Luna на Amazon Bedrock AgentCore має два рівні. Перший керує 30+ агентами й закриває рутину за секунди. Другий розбирає складні кейси.
Сам лише перший рівень давав 83% автономних рішень. Понад 90% дали другий рівень і конвеєр навчання: рішення, повторене тричі, стає шаблоном. За два місяці систему поширили на фінансові ризики.
Як виглядає один кейс: картка клієнта в даркнеті
Найдетальніше джерело розбирає сповіщення про скомпрометовану картку. Таких Greenlight отримує сотні щодня, і для кожного Luna проходить однаковий ланцюжок:
- Отримання. Постачальники розвідданих про загрози (Mastercard, внутрішні джерела) повідомляють номери скомпрометованих карток.
- Перевірка. Запит до Galileo: чи це картка Greenlight, чи вона активна, яка недавня історія транзакцій.
- Дедуплікація. Чи це повторне сповіщення і чи картку вже обробили. Про той самий витік часто повідомляють кілька постачальників.
- Звірка. Аномалії сесій клієнта в Mixpanel, пов'язані звернення в Zendesk, внутрішній скоринг шахрайства.
- Оцінка. Низький ризик: записати й стежити. Середній: позначити для перевірки. Високий: передати аналітикам із повним ланцюжком доказів.
Аналітик, який вручну заходить у кожну з цих систем, витрачає 15–30 хвилин на картку. Luna обробляє одну картку за секунди.
Пам'ять: звідки взялися понад 90%
Епізодична пам'ять зберігає події й рішення за останні 30 днів. Коли надходить новий алерт, система перевіряє, чи бачила такий патерн і який був вердикт. Приклад із джерела: інфраструктурна роль щовівторка о 3 ночі генерує однаковий шаблон доступу через планове обслуговування. Без пам'яті Luna позначала б його щотижня. Після першого розв'язання система навчилася, що це очікувана поведінка, і автоматично вносить її до дозволених.
Довгострокова пам'ять тримає те, що виходить за межі 30 днів: пояснення, чому певний доступ є нормою, шаблони рішень для повторюваних кейсів і статистику. Наприклад, за історичними даними Greenlight, картки з одного конкретного даркнет-джерела мають 73% хибних спрацювань, тому для них першочергова дедуплікація.
Межі: Luna розбирає кейси, але не вживає заходів
За цифрою 90% легко загубити головне обмеження. Luna спроєктована сортувати кейси й рекомендувати рішення. Самостійних заходів без явно затвердженої політики вона не вживає. Заходи вживає аналітик або заздалегідь погоджена автоматична політика. За джерелом, саме таке розділення задовольнило комплаєнс-вимоги й допомогло здобути довіру команди ризиків.
Кейси, де впевненість першого рівня нижча за поріг, переходять на другий рівень. Це близько 10% кейсів, які потребують багатокрокового міркування. Другий рівень звіряє 3–5 джерел даних, щоб встановити причину, і готує звіт із доказами для людини. Почали з безпеки, бо там чіткий критерій: правильно закрити кейс або ескалувати. Фінансові ризики додали, коли перший рівень стабільно давав 83%. Повне покриття цього напряму, за джерелом, ще триває.
Що перевірити, перш ніж переносити підхід до себе
- Межа автономії. Зафіксуйте письмово:
Агент сам: закриває відомі очікувані патерни, логує низький ризик. Агент рекомендує: середній і високий ризик. Людина або погоджена політика: будь-які дії щодо клієнта чи рахунку. - Ескалація. Визначте, що саме вважається недостатньою впевненістю і що людина отримує разом із кейсом. У Greenlight це повний ланцюжок доказів.
- Навчання. У Luna рішення стає підтвердженим патерном після трьох однакових розв'язань. Призначте людину, яка переглядає список таких патернів і винятків: помилковий шаблон може тиражуватися.
- Економія. 900–1800 годин на місяць є оцінкою: 4000 кейсів, помножені на 15–30 хвилин ручної роботи. Перерахуйте її на власних обсягах.
Вартості рішення в матеріалі немає.
Продукти: Курс