A Sociotechnical, Practitioner-Centered Approach to Technology Adoption in Cybersecurity Operations: An LLM Case
Diese Studie zeigt, dass ein soziotechnischer, an den Praktiker orientierter Ansatz der Co-Kreation von LLM-Werkzeugen, der auf Ethnografie und Nonakas SECI-Modell basiert, die traditionellen Hürden der Technologieakzeptanz in Cybersecurity-Operations-Zentren überwindet und zu einer nachhaltigen Einführung führt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das große Problem: Der verdächtige neue Helfer
Stell dir vor, ein Sicherheitscenter (SOC) ist wie eine riesige, nervöse Feuerwache. Die Feuerwehrleute (die Analysten) müssen rund um die Uhr auf tausende Alarme achten, prüfen, ob es ein echter Brand ist oder nur ein verbranntes Toastbrot (ein falscher Alarm), und dann schnell handeln.
Das Problem: Sie sind oft überlastet. Sie müssen zwischen vielen verschiedenen Computern hin- und herspringen, Daten suchen und mühsam Zusammenhänge herstellen.
Jetzt kommt ein neuer, sehr intelligenter Roboter-Assistent (eine KI, speziell ein "Large Language Model" oder LLM) ins Spiel. Aber die Feuerwehrleute sind skeptisch. Warum?
- Halluzinationen: Der Roboter erfindet manchmal Dinge, die nicht passiert sind.
- Unzuverlässigkeit: Manchmal gibt er eine Antwort, die morgen schon wieder anders klingt.
- Störung: Wenn der Roboter den Arbeitsablauf unterbricht, statt zu helfen, ist er nur ein Hindernis.
Früher haben Forscher einfach neue Werkzeuge entwickelt, sie den Feuerwehren gebracht und gesagt: "Nehmt das!" – und dann haben die Werkzeuge oft nicht funktioniert, weil sie die echten Probleme der Feuerwehrleute nicht verstanden hatten.
Die Lösung: Nicht von außen, sondern von innen
In dieser Studie haben die Forscher etwas ganz anderes gemacht. Statt nur von außen zu beobachten, sind sie für sechs Monate mitten unter die Feuerwehrleute gegangen. Zwei Doktoranden haben quasi als "Lehrlinge" in der Sicherheitszentrale mitgearbeitet.
Stell dir das wie einen Koch vor, der nicht einfach ein neues Rezept auf einen Zettel schreibt und in die Küche wirft. Stattdessen geht er in die Küche, hilft beim Schneiden, rührt mit und merkt: "Aha, der Messerblock ist zu weit weg, und der Ofen ist zu heiß."
Was haben sie gelernt?
Die Forscher sahen, dass die Analysten nicht unbedingt einen Roboter brauchen, der alles für sie macht. Sie brauchen einen Assistenten, der:
- Die langweilige, repetitive Arbeit abnimmt (wie das Suchen von Daten in fünf verschiedenen Programmen).
- Als "Gedächtnisstütze" dient, wenn jemand eine komplexe Frage hat.
- Nicht die Kontrolle übernimmt, sondern den Menschen unterstützt.
Der Bauplan: Gemeinsam bauen (Co-Creation)
Anstatt die Werkzeuge im stillen Kämmerlein zu programmieren, haben die Forscher und die Analysten gemeinsam entwickelt. Das nennt man "Co-Creation".
Das lief in vier Schritten ab (ein bisschen wie das Lernen eines Handwerks):
- Zusammen sein (Socialization): Die Forscher waren einfach da, hörten zu und lernten, wie die Leute wirklich arbeiten.
- Sprechen und Verstehen (Externalization): Die Forscher fragten: "Was nervt euch am meisten?" und machten die unausgesprochenen Probleme (wie "Ich verliere immer den Überblick bei diesen Logs") sichtbar.
- Bauen (Combination): Sie bauten kleine KI-Tools, die genau diese Probleme lösten. Zum Beispiel ein Werkzeug, das automatisch Zusammenfassungen von Sicherheitsvorfällen schreibt, oder eines, das hilft, komplexe Suchanfragen zu formulieren.
- Verinnerlichen (Internalization): Die Analysten nutzten die Tools, gaben Feedback ("Das ist zu langsam", "Das ist ungenau"), und die Forscher passten die Tools an. Erst als die Tools perfekt in den Alltag passten, wurden sie wirklich angenommen.
Die drei neuen Werkzeuge
Sie haben drei spezielle Helfer gebaut:
- Der "Detektiv" (Root Cause Analysis): Wenn etwas schiefgeht, muss schnell geklärt werden, warum. Der KI-Helfer liest alle Daten, fasst sie zusammen und sagt: "Hier ist wahrscheinlich das Problem." Aber der Mensch entscheidet am Ende.
- Der "Übersetzer" (Query Builder): Die Analysten müssen oft komplizierte Suchbefehle in einer fremden Sprache (SQL o.ä.) eingeben. Der KI-Helfer hilft, diese Befehle zu formulieren, basierend auf dem, was der Analyst eigentlich sucht.
- Der "Inventar-Manager" (Asset Discovery): Er prüft automatisch, welche Computer im Netzwerk sind und ob sie alle melden, was sie sollen.
Das Ergebnis: Vertrauen durch Zusammenarbeit
Am Anfang waren die Analysten skeptisch. Aber weil sie selbst mitgebaut haben und sahen, dass die Tools ihre Arbeit erleichtern (statt sie zu stören), wuchs das Vertrauen.
Die große Erkenntnis:
KI ist kein Zauberstab, der alles automatisch richtig macht. KI ist wie ein junger, sehr schneller Praktikant.
- Wenn du ihm sagst: "Mach das einfach so, wie ich es immer mache", wird er scheitern.
- Wenn du ihm aber zeigst: "Schau mal, hier ist mein altes Notizbuch (die Daten), und hier ist mein Weg, wie ich arbeite", dann kann er dir helfen, die Arbeit schneller zu erledigen.
Das Wichtigste ist, dass der Mensch die Kontrolle behält. Der KI-Helfer macht einen Entwurf, der Mensch prüft ihn und sagt: "Ja, das ist gut" oder "Nein, das ist Unsinn". Erst wenn der Mensch zustimmt, wird die KI-Arbeit Teil des normalen Arbeitsablaufs.
Fazit
Die Studie zeigt: Um KI in der Cybersicherheit erfolgreich zu nutzen, darf man sie nicht einfach "einführen". Man muss sie gemeinsam entwickeln. Nur wenn die Menschen, die die Arbeit machen, das Werkzeug selbst mitgestalten und ihm vertrauen, wird es wirklich helfen. Es geht nicht darum, die Menschen zu ersetzen, sondern ihnen einen starken, klugen Partner an die Seite zu stellen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.