💻 computer science

A Unified Framework for Human AI Collaboration in Security Operations Centers with Trusted Autonomy

تقترح هذه الورقة إطاراً مبتكراً ومتعدد المستويات للتعاون بين الإنسان والذكاء الاصطناعي في مراكز عمليات الأمن، يقوم بربط خمسة مستويات من استقلالية الذكاء الاصطناعي ديناميكياً بأدوار محددة للعنصر البشري في الحلقة وعتبات الثقة، مما يتيح اتخاذ قرارات تكيفية وقابلة للتفسير تعزز الإشراف البشري بدلاً من استبداله في الدفاع السيبراني.

المؤلفون الأصليون: Ahmad Mohsin, Helge Janicke, Ahmed Ibrahim, Iqbal H. Sarker, Seyit Camtepe

نُشر 2026-08-05

📖 6 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Ahmad Mohsin, Helge Janicke, Ahmed Ibrahim, Iqbal H. Sarker, Seyit Camtepe

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل الإنترنت كمدينة ضخمة وصاخبة، حيث تتدفق البيانات مثل حركة المرور ويعيش الناس في بيوت رقمية. في هذه المدينة، هناك دائمًا مثبطون يحاولون اقتحام المنازل، أو سرقة البريد، أو إثارة الفوضى. وللحفاظ على سلامة الجميع، لدينا محطات شرطة خاصة تسمى مراكز العمليات الأمنية (SOCs). هذه ليست مجرد غرف بها أجهزة كمبيوتر؛ بل هي مراكز قيادة حيث تعمل فرق من المحققين البشر على مراقبة الشاشات، وتحليل الأدلة، وإيقاف المجرمين السيبرانيين قبل أن يتسببوا في ضرر حقيقي. ولكن إليكم المشكلة: المدينة تزدء في الكبر، والأشرار يزدادون ذكاءً وسرعة ومكرًا. تعاني محطات الشرطة من فيضان من التنبيهات—آلاف التنبيهات كل يوم واحد. معظم هذه التنبيهات خاطئة، مثل جهاز إنذار دخان يعمل لأن شخصًا ما أحرق قطعة خبز، ولكن على المحققين فحص كل واحد منها. يؤدي هذا إلى "إجهاد التنبيه"، حيث يصبح البشر متعبين ومثقلين بالأعباء لدرجة أنهم قد يغفلون عن الحريق الحقيقي.

ولحل هذه المشكلة، بدأنا في استقدام مساعدين آليين مدعومين بالذكاء الاصطناعي (AI). يمكن لهذه الروبوتات مسح ملايين الأدلة في جزء من الثانية، بسرعة تفوق أي إنسان بكثير. لكن هناك عقبة: إذا تركنا الروبوتات تدير العرض بأكمله، فقد ترتكب أخطاء لا نفهمها، أو قد يتم خداعها من قبل مخترقين أذكياء. وإذا لم نسمح لهم بالمساعدة بما يكفي، فسنعود إلى حالة الارتباك والارتباك. لذا، السؤال الكبير للعلماء هو: كيف نبني فريقًا مثاليًا يتعاون فيه المحققون البشر والروبوتات المدعومة بالذكاء الاصطناعي، ويعرف كل طرف تمامًا ما الذي يقوم به، ويعملون معًا دون أن يصاب أحد بالإرهاق أو يرتكب خطأً فادحًا؟ هذا هو اللغز الذي سعى فريق من الباحثين في أستراليا لحله.

الفكرة الكبرى للورقة البحثية: دليل التعاون بين البشر والمحققين الآليين

الورقة التي تقرؤها، بعنوان "إطار عمل موحد للتعاون بين الإنسان والذكاء الاصطناعي في مراكز العمليات الأمنية باستخدام الاستقلالية الموثوقة"، هي في الأساس كتاب قواعد لبناء ذلك الفريق المثالي. يرى المؤلفون، أحمد محسن وزملاؤه، أننا لا يمكننا مجرد وضع ذكاء اصطناعي في نظام أمني والأمل في الأفضل. بدلاً من ذلك، يقترحون طريقة منظمة لخلط العقول البشرية مع سرعة الروبوت، بناءً على مدى ثقتنا في الروبوت ومدى صعوبة المهمة.

فكر في الأمر كتعليم طالب جديد القيادة. لن تسمح له بالقيادة على طريق سريع مزدحم في يومه الأول (سيكون ذلك خطرًا للغاية). تبدأ به في موقف سيارات فارغ (المستوى 1: الذكاء الاصطناعي يساعد، لكن الإنسان يمسك بعجلة القيادة). ومع تحسنه وزيادة ثقتك به، تسمح له بالقيادة في شوارع هادئة (المستوى 2: الذكاء الاصطناعي يتولى القيادة، لكن الإنسان يراقب عن كثب). أخيرًا، إذا أثبت أنه مذهل وكان الطريق آمنًا، فقد تسمح له بالقيادة بمفرده بينما تكتفي أنت بالاسترخاء في المقعد الخلفي (المستوى 4: الذكاء الاصطناعي مسؤول بالكامل).

تقترح الورقة أن مراكز الأمن يجب أن تستخدم نظام "الارتقاء بالمستويات" هذا (Levels). لقد أنشأوا إطار عمل يتضمن خمسة مستويات من الاستقلالية (مدى استقلال الذكاء الاصطناعي):

المستوى 0: الإنسان يفعل كل شيء. الذكاء الاصطناعي مجرد أداة، مثل الآلة الحاسبة.
المستوى 1: الذكاء الاصطناعي يقترح ما يجب فعله، لكن يجب على الإنسان قول "نعم" قبل حدوث أي شيء.
المستوى 2: الذكاء الاصطناعي يتولى المهام الروتينية تلقائيًا ولكنه يطلب الإذن قبل القيام بأي شيء مهم.
المستوى 3: الذكاء الاصطناعي يقوم بمعظم الأشياء بمفرده، ولا يتدخل الإنسان إلا إذا حدث شيء غريب أو خطير.
المستوى 4: الذكاء الاصطنايد يدير العرض بأكمله للأمور الروتينية، والإنسان يكتفي بمراجعة التقارير لاحقًا.

المفتاح في هذا النظام هو الثقة. توضح الورقة أنه لا يمكنك منح الروبوت المفاتيح فورًا. الثقة تُبنى بمرور الوقت، مثل الصداقة. إذا اتخذ الذكاء الاصطناعي قرارات جيدة وشرح لماذا اتخذها (حتى يفهم الإنسان)، فإن الإنسان يثق به أكثر، ويتمكن الذكاء الاصطناعي من القيام بمزيد من العمل. إذا كان الذكاء الاصطناعي عبارة عن "صندوق أسود" لا يشرح نفسه، فسيظل الإنسان هو المسيطر، وسيقوم الروبوت بعمل أقل.

تجربة القيادة بـ "الأفاتار الروبوتي"

لمعرفة ما إذا كانت فكرتهم تعمل حقًا، لم يكتفِ الباحثون بكتابة النظرية؛ بل بنوا اختبارًا. أنشأوا "نطاقًا سيبرانيًا" محاكيًا، وهو يشبه عالم ألعاب الفيديو المصمم ليبدو تمامًا مثل شبكة كمبيوتر لشركة حقيقية. في هذه اللعبة، أقاموا فريقًا من المحققين البشريين ومساعدًا خاصًا بالذكاء الاصطناعي أطلقوا عليه اسم CyberAlly. كان CyberAlly عبارة عن عقل روبوتي فائق الذكاء (يعتمد على نوع من أنواع الذكاء الاصطناعي تسمى النماذج اللغوية الكبيرة) تم تدريبه على عامين من الهجمات السيبرانية وبيانات الأمن المزيفة.

أجروا سلسلة من "حروب المحاكاة" حيث حاول فريق من المخترقين (الفريق الأحمر) اختراق النظام، وحاول الفريق المكون من البشر والذكاء الاصطناعي (الفريق الأزرق) إيقافهم. كانت السيناريوهات واقعية، وتضمنت أشياء مثل محاولة المخترقين العبث بالمستشعرات التي تتحكم في عمق سفينة أو محاولة منع قطار من توصيل الإمدادات.

إليكم ما حدث في المحاكاة:

ساعد الذكاء الاصطناعي في تصفية الضجيج: في البداية، عمل الذكاء الاصطناعي كمساعد من المستوى 1. نظر إلى آلاف التنبيهات وأخبر البشر: "مهلًا، 70% من هذه مجرد إنذارات كاذبة، تجاهلوها". جعل هذا مهمة البشر أسهل على الفور.
أصبح الفريق أسرع: عندما هاجم المخترقون، ساعد الذكاء الاصطناعي البشر في معرفة ما يحدث بشكل أسرع بكثير. في أحد الاختبارات، انخفض الوقت المستغرق للتحقيق في مشكلة من ثلاث ساعات إلى ساعة واحدة فقط. هذا تحسن بنسبة 67%.
قفز وقت الاستجابة: عندما جاء وقت إيقاف الهجوم (مثل حظر مخترق سيئ أو إغلاق باب)، ساعد الذكاء الاصطناعي في تقليص الوقت المستغرق لإصلاح المشكلة من 8 ساعات إلى 90 دقيقة.
نمَت الثقة بشكل طبيعي: في البداية، قام البشر بفحص كل ما قاله الذكاء الاصطناعي. ولكن مع استمرار الذكاء الاصطناعي في تقديم قرارات صحيحة وشرح منطقه بوضوح، بدأ البشر يثقون به أكثر. سمحوا للذكاء الاصطناعي بتولي المزيد من المهام الروتينية تلقائيًا، مما أتاح لهم التركيز على المشكلات الأكثر صعوبة وتعقيدًا.

ماذا يعني هذا للمستقبل؟

تشير الورقة البحثية إلى أن إطار عمل "الاستقلالية الموثوقة" هذا هو وسيلة ناجحة للتعامل مع مستقبل الأمن السيبراني. فهي تظهر أننا لسنا مضطرين للاختيار بين "البشر فقط" (وهو أمر بطيء جدًا) وبين "الروبوتات فقط" (وهو أمر خطير جدًا). بدلاً من ذلك، يمكننا بناء شراكة حيث يتولى الروبوت الأمور المملة والسريعة والمتكررة، ويتولى الإنسان القرارات المعقدة والمخيفة والهامة.

وجد الباحثون أنه من خلال مطابقة استقلالية الذكاء الاصطناعي بعناً مع مستوى ثقة الإنسان، يمكن لفرق الأمن التوقف عن الشعور بالإرهاق بسبب التنبيهات الكاذبة والبدء في رصد التهديدات الحقيقية بشكل أسرع بكثير. لقد أثبتوا ذلك في محاكاتهم، حيث أظهروا أن إجهاد التنبيه انخفض واستجابة الوقت زادت. ومع ذلك، فهم حذرون في القول بأن هذا كان اختبارًا في بيئة وهمية. وبينما تبدو النتائج واعدة للغاية، فإن مراكز الأمن في العالم الحقيقي تمتلك أنظمة معقدة وفوضوية قد يكون إصلاحها أصعب من لعبة فيديو.

باختصار، تقدم هذه الورقة مخططًا لمستقبل محطات الشرطة السيبرانية: مكان يكون فيه البشر والذكاء الاصطناعي أفضل الأصدقاء، حيث يقوم كل منهما بما يجيده، ويعملان معًا للحفاظ على سلامة مدينتنا الرقمية. لا يتعلق الأمر باستبدال المحقق البشري بروبوت؛ بل يتعلق بمنح المحقق شريكًا خارقًا لا يتعب أبدًا، ولا يفوته أي دليل، ويعرف دائمًا متى يطلب الدعم.

ملخص تقني: إطار عمل موحد للتعاون بين الإنسان والذكاء الاصطناعي في مراكز عمليات الأمن باستخدام الاستقلالية الموثوقة

بيان المشكلة

تواجه مراكز عمليات الأمن (SOCs) تحديات تشغيلية حرجة مدفوعة بتزايد تعقيد التهديدات السيبرانية ومحدودية استراتيجيات الأتمتة الحالية. فعلى الرغم من دمج أدوات إدارة المعلومات الأمنية والأحداث (SIEM)، وأتمتة الاستجابة الأمنية والتنسيق (SOAR)، وكشف واستجابة النقاط الطرفية (EDR)، لا تزال مراكز عمليات الأمن تعاني من إرهاق التنبيهات، وارتفاع معدلات الإيجابيات الكاذبة (تصل إلى 99% في بعض الدراسات)، واحتراق المحللين وظيفياً. وتعتمد الأطر الحالية غالباً على إعدادات استقلالية ثابتة أو ثنائية (إما يدوية بالكامل أو مؤتمتة بالكامل)، مما يفشل في مراعاة التباين في التعقيد، والأهمية، والمخاطر المرتبطة بمهام مركز العمليات الأمنية المختلفة. علاوة على ذلك، تفتقر النهج الحالية في كثير من الأحيان إلى هياكل منهجية لإدارة اتخاذ القرار القائم على العنصر البشري في الحلقة (HITL)، ومعايرة الثقة، والاستقلالية القابلة للتوسع. وتؤدي هذه الفجوة إلى سير عمل غير فعال حيث يغرق المحللون البشر في الضجيج، بينما تفتقر أنظمة الذاء الاصطناعي إلى الإشراف اللازم للحوادث عالية الخطورة أو الجديدة أو الغامضة.

المنهجية

يقترح المؤلفون إطار عمل موحد للتعاون بين الإنسان والذكاء الاصطناعي يقوم على علاقة ثلاثية بين الاستقلالية، والثقة، والمشاركة البشرية (HITL). تتضمن المنهجية ثلاثة مكونات أساسية:

النمذجة النظرية للاستقلالية والثقة:
- الاستقلالية ( $A$ ): تُعرف كقيمة قياسية $A \in [0, 1]$ ، وتُنمذج كدالة لتعقيد المهمة ( $C$ )، والمخاطر ( $R$ )، والثقة ( $T$ ): $A = 1 - (\lambda_1 C + \lambda_2 R)(1 - T)$ . تفترض هذه المعادلة أن الاستقلالية تنخفض مع زيادة التعقيد والمخاطر، ولكنها تزداد مع زيادة الثقة.
- المشاركة البشرية ( $H$ ): تُعرف بأنها مقلوب الاستقلالية ( $H = 1 - A$ )، وتتراوح من السيطرة البشرية الكاملة إلى الاستقلالية الكاملة للذكاء الاصطناعي.
- الثقة ( $T$ ): تُنمذج كمجموع مرجح للقابلية للتفسير ( $E$ )، وسجل الأداء ( $P$ )، وعدم اليقين ( $U$ ): $T = \alpha_1 E + \alpha_2 P + \alpha_3(1 - U)$ .
إطار عمل الاستقلالية خماسي المستويات:
مستوحى من معيار SAE J3016 لأتمتة المركبات، يقوم المؤلفون بربط عمليات مركز العمليات الأمنية بخمسة مستويات متميزة من الاستقلالية (0–4)، تتماشى مع مستويات محللي مركز العمليات (المستوى 1–4) ووظائف إطار العمل السيبراني لـ NIST (التحديد، الحماية، الكشف، الاستجابة، التعافي):
- المستوى 0 (يدوي): لا توجد أتمتة؛ يتولى المحللون جميع المهام.
- المستوى 1 (مدعوم بالذكاء الاصطناعي): يوفر الذكاء الاصطناعي دعماً للقرار (مثل تسجيل نقاط التنبيه)؛ مع احتفاظ البشر بالسيطرة الكاملة.
- المستوى 2 (شبه مستقل): ينفذ الذكاء الاصطناعي المهام الروتينية ولكنه يتطلب موافقة بشرية صريحة للإجراءات الحرجة.
- المستوى 3 (مستقل مشروط): ينفذ الذكاء الاصطناي مهام محددة بشكل مستقل؛ ويقوم البشر بالإشراف (الإنسان في الحلقة - Human-on-the-Loop) والتدخل فقط في حالات الاستثناء.
- المستوى 4 (مستقل بالكامل): يدير الذكاء الاصطناعي وظائف شاملة مع حد أدنى من الإشراف البشري (الإنسان خارج الحلقة - Human-out-of-the-Loop)، مع التركيز على الحوكمة والتدقيق.
دمج الوعي بالموقف (SA):
يتضمن إطار العمل الوعي بالموقف كوسيط مركزي، ويقسمه إلى الوعي بالذات (إدراك القيود)، والوعي بالزميل (فهم الأدوار والحالات المعرفية)، والوعي بالعالم (الحفاظ على رؤية متماسكة لمشهد التهديدات). يضمن ذلك تفسير رؤى الذكاء الاصطناعي ضمن النماذج الذهنية البشرية.
التحقق التجريبي (دراسة حالة):
تم التحقق من صحة إطار العمل باستخدام بيئة سيبرانية محاكية (ACDC Cyber Range) تتميز بوكيل نموذج لغوي كبير (LLM) مضبوط بدقة يسمى CyberAlly. يعمل CyberAlly، المزود بتقنية التوليد المعزز بالاسترجاع (RAG) والرسوم البيانية للمعرفة، ضمن تمرين "الفريق الأحمر ضد الفريق الأزرق" يشمل بيئات تقنية معلومات/تقنيات تشغيلية (أنظمة الموانئ البحرية). يتفاعل الوكيل مع SIEM (Wazuh)، وSOAR، والمحللين عبر واجهة دردشة، ويتدرج عبر مستويات الاستقلالية بناءً على تعقيد الحادث والثقة المتبادلة.

المساهمات الرئيسية

الإطار الثلاثي: يصيغ البحث العلاقة المتبادلة بين الاستقلالية والثقة والمشاركة البشرية (HITL)، ويقدم نهجاً مهيكلاً لتوزيع المهام الديناميكي في مراكز العمليات الأمنية.
مقياس الاستقلالية المتدرج: يقدم نموذج استقلالية مفصلاً من خمسة مستويات يتجاوز الأتمتة الثنائية، مما يسمح بتفويض تكيفي بناءً على مخاطر المهمة وثقة المحلل.
درجات المحلل.
محاذاة الأدوار: يربط إطار العمل مستويات محددة من محللي مركز العمليات (المستوى 1–4) بمستويات الاستقلالية المقابلة وتكوينات المشاركة البشرية، مما يوضح المسؤوليات من التصنيف الأولي إلى الحوكمة الاستراتيجية.
تصميم سير العمل التشغيلي: يفصل إطار العمل سير العمل التعاوني لإدارة التنبيهات، وإدارة التهديدات، والاستجابة والتعافي، موضحاً كيف يمكن للذكاء الاصطناعي والبشر التعاون في التحقيق واتخاذ القرار.
الأدلة التجريبية: من خلال دراسة حالة CyberAlly، يقدم البحث دليلاً عملياً على جدوى إطار العمل، موضحاً كيف يمكن لوكيل يعتمد على النماذج اللغوية الكبيرة تقليل الإيجابيات الكاذبة وتسريع زمن الاستجابة مع الحفاظ على الإشراف البشري.

النتائج

أسفرت دراسة الحالة التي شارك فيها وكيل CyberAlly في بيئة ACDC Cyber Range عن النتائج الكمية والنوعية التالية:

تقليل الإيجابيات الكاذبة: خفض الوكيل الذكي التنبيهات الإيجابية الكاذبة من 70% إلى 35%، مما حسن بشكل كبير نسبة الإشارة إلى الضجيج.
كفاءة التحقيق: انخفضت أوقات التحقيق في الحوادث المعقدة (مثل إساءة استخدام الاعتمادات، أو التلاعب بالتقنيات التشغيلية OT) من 3 ساعات إلى ساعة واحدة (تحسن بنسبة 67%).
زمن الاستجابة (MTTR): انخفض متوسط وقت الاستجابة من 8 ساعات إلى 90 دقيقة في سيناريوهات محددة تشمل عزل النقاط الطرفية واحتواء التهديدات.
نطاق الأتمتة: ارتفع عدد التذاكر المؤتمتة من 10% إلى 75% من إجمالي الحوادث.
معايرة الثقة: أظهرت الدراسة أن الثقة ليست ثابتة؛ فقد تطورت مع تقديم الذكاء الاصطناعي لمبررات قابلة للتفسير وأداء ثابت، مما سمح بانتقال تدريجي من المستوى 1 (المشاركة البشرية الكاملة) إلى المستوى 2/3 (الإنسان في الحلقة - Human-on-the-Loop).

الأهمية والادعاءات

يزعم البحث أن أهميته الأساسية تكمن في توفير نهج مهيكل وقابل للتوسع ومرتكز على أسس نظرية لدمج الذكاء الاصطناعي في مراكز العمليات الأمنية دون استبدال الخبرة البشرية. ومن خلال معالجة طبيعة "الصندوق الأسود" للذكاء الاصطناعي وجمود الأتمتة الحالية، يتيح إطار العمل إنشاء مراكز عمليات أمنية معرفية حيث يعمل الذكاء الاصطناعي كتعزيز موثوق لاتخاذ القرار البشري.

ويؤكد المؤلفون أن إطار عملهم:

يسد الفجوة: يربط النماذج النظرية للاستقلالية والثقة بالتطبيق العملي في سير عمل مراكز العمليات الأمنية.
يخفف المخاطر: من خلال معايرة الاستقلالية بناءً على الثقة والمخاطر، فإنه يمنع الانحياز للأتمتة ويضمن المساءلة في القرارات الحرجة.
يعزز المرونة: يسمح لمراكز العمليات الأمنية بتوسيع نطاق عملياتها والتعامل مع حجم التهديدات السيبرانية الحديثة مع تقليل الاحتراق الوظيفي والعبء المعرفي للمحللين.
يسهل التطور: يدعم إطار العمل الانتقال من مراكز العمليات الأمنية التفاعلية القائمة على القواعد إلى مراكز عمليات أمنية استباقية وتكيفية ومتعلمة.

يخلص البحث إلى أنه بينما تظل التحديات المتعلقة بانحراف النموذج، والقابلية للتفسير، والتبني التنظيمي قائمة، فإن إطار العمل المقترح يقدم مساراً قابلاً للتطبيق لتصميم الجيل القادم من بنيات مراكز العمليات الأمنية التي تسخر الذكاء الاصطناعي من أجل استقلالية موثوقة.