Команда Александра Кельчина (CTO и CISO Medici Lab) опубликовала разбор самописного AI SOC. Ключевые цифры: SIEM обрабатывает 150 хостов на двух ядрах CPU, а языковая модель на 9 миллиардов параметров используется для триажа событий второй линии. В идеальных условиях модель верно обрабатывала около 60% событий, но после перестройки SIEM точность выросла до 96–97%. Оставшиеся 3–4% — ложные срабатывания и пропуски, поэтому автоматически реагировать на такой выход всё ещё нельзя. Разберём, какие практические выводы можно сделать из этого кейса.

Почему «просто добавить LLM» не работает

Первый результат в 60% — типичная история для тех, кто пробует повесить языковую модель на сырой поток алертов. Модель получает слишком много шума и противоречивых сигналов, поэтому ошибается. Команда перестроила SIEM так, чтобы модель работала не с каждым сработавшим правилом, а с уже обогащёнными и отфильтрованными событиями. Это дало рост качества без замены модели на более крупную.

Что именно изменили в SIEM

Вместо того чтобы отправлять в LLM всё подряд, инженеры настроили предварительную обработку: нормализацию, дедупликацию и приоритизацию событий. Модель получает только те инциденты, которые действительно требуют анализа второй линии. Такой подход снижает нагрузку на CPU и уменьшает количество ложных срабатываний. Важно, что модель не принимает решений о блокировке — она только помогает аналитику.

  • Обогащение событий контекстом до передачи в модель.
  • Фильтрация низкоприоритетных алертов на уровне SIEM.
  • Использование модели как советника, а не автономного агента.
  • Ограничение ресурсов: два ядра CPU на 150 хостов.

Почему 96–97% — это не повод расслабляться

Даже при высокой точности остаются ложные срабатывания и пропуски. Автоматическая реакция на такой выход опасна: можно заблокировать легитимный трафик или пропустить атаку. Поэтому в Medici Lab модель используется для триажа, а финальное решение принимает человек. Это соответствует практикам безопасной автоматизации: чем выше цена ошибки, тем меньше степень автономности.

Что можно применить у себя

Если вы думаете об автоматизации SOC с помощью LLM, начните с аудита потока событий. Посчитайте, сколько алертов реально доходит до второй линии и какие из них можно отфильтровать без потери качества. Затем протестируйте модель на исторических данных, чтобы понять её точность в вашем контексте. Не ориентируйтесь на чужие проценты: 60% или 96% — это результат конкретной архитектуры и набора данных.

Кейс Medici Lab показывает, что маломощный SIEM и небольшая модель могут дать приемлемый результат, если правильно построить предобработку. Но это не готовое решение «из коробки», а инженерная работа. Если у вас нет ресурсов на такую перестройку, возможно, стоит начать с более простых правил корреляции и только потом добавлять LLM.