Sophos cho biết tác nhân AI xây dựng qua chương trình OpenAI Daybreak đã giúp tự động giải quyết 52% vụ việc trong dịch vụ phát hiện và ứng phó được quản lý (MDR). Thời gian phản ứng trung bình với các vụ việc sử dụng tác nhân giảm từ khoảng 38 phút xuống 89 giây. Điểm đáng chú ý là quyền hành động vẫn bị giới hạn theo thỏa thuận với khách hàng, thay vì mặc định giao toàn bộ việc ứng phó cho AI.
Các số liệu xuất hiện trong nghiên cứu tình huống về Sophos do OpenAI công bố ngày 9/10/2026. Đây là kết quả do doanh nghiệp cung cấp, không phải đánh giá độc lập về hiệu quả bảo mật.
AI điều tra, lập kế hoạch và đề xuất phản ứng
Hệ thống Sophos Fusion kết hợp dữ liệu từ sản phẩm Sophos và hơn 500 tích hợp bên thứ ba. Theo bài công bố, dữ liệu này được sàng lọc thành khoảng 1.000-2.000 vụ việc để chín trung tâm vận hành an ninh điều tra mỗi ngày.
Tác nhân điều tra thu thập bối cảnh khách hàng, thông tin phát hiện, dấu hiệu xâm nhập và tình báo mối đe dọa liên quan. Một mô hình lập kế hoạch sau đó vận hành vòng lặp lập kế hoạch, thực thi và rà soát, tạo bản tóm tắt cùng hành động đề xuất để chuyên viên xem xét. Các tác nhân khác có thể thực hiện một phần phản ứng.
Cách tổ chức này chuyển trọng tâm từ việc AI trả lời câu hỏi sang xử lý một quy trình có bối cảnh và điểm kiểm tra. Một hướng tiếp cận liên quan là tách bằng chứng khỏi suy luận AI trong bảo mật của Cloudflare.
Ba chế độ khách hàng quyết định quyền hành động
Sophos mô tả ba chế độ vận hành MDR:
Notify: Sophos điều tra và đề xuất phản ứng; khách hàng tự hành động.
Collaborate: Sophos phối hợp với khách hàng trước khi thực hiện hành động.
Authorise: Sophos được phép phản ứng trực tiếp thay mặt khách hàng.
Những ranh giới này áp dụng cho cả con người lẫn tác nhân AI. Theo CTO John Peterson, công việc mà Sophos chưa yên tâm giao cho tác nhân sẽ được chuyển sang con người phán đoán. Các hành động có khả năng gây tác động phá hủy vẫn cần mức giám sát phù hợp.
Vì vậy, “xử lý tự động từ đầu đến cuối” không đồng nghĩa với quyền không giới hạn. Nó diễn ra trong phạm vi đã được hiệu chỉnh bởi chuyên viên Sophos. Vấn đề phân tách khả năng suy luận và quyền thực thi cũng được đề cập trong lớp kiểm soát hành động Sentinel của Muse.
Mức giảm thời gian chưa phản ánh toàn bộ chất lượng
OpenAI nêu mức giảm 96% thời gian điều tra, nhưng mốc 89 giây được mô tả cụ thể cho các vụ việc có sử dụng tác nhân. Không nên hiểu đó là thời gian phản ứng của mọi vụ việc MDR hoặc bằng chứng rằng mọi loại tấn công đều được xử lý tốt hơn.
Bài công bố không cung cấp phân tích chi tiết về tỷ lệ sai sót hay kết quả theo độ nghiêm trọng. Việc đánh giá AI trước khi triển khai vì thế vẫn cần xem đồng thời chất lượng, chi phí và quyền kiểm soát, thay vì chỉ tốc độ.
Sophos cho biết sẽ mở rộng khả năng phản ứng và phạm vi tác vụ của các tác nhân. Chưa có lịch trình cụ thể hoặc số liệu cho các khả năng tiếp theo. Peterson đồng thời nhấn mạnh bảo mật nhiều lớp, gồm vá lỗi, bảo vệ thiết bị đầu cuối, xác thực đa yếu tố và phân đoạn mạng; tự động hóa điều tra không thay thế các nền tảng này.