Resumo Técnico: Um Framework Unificado para Colaboração Humano-IA em Centros de Operações de Segurança com Autonomia Confiável

Declaração do Problema

Os Centros de Operações de Segurança (SOCs) enfrentam desafios operacionais críticos impulsionados pela crescente sofisticação das ameaças cibernéticas e pelas limitações das atuais estratégias de automação. Apesar da integração de ferramentas de Gerenciamento de Informações e Eventos de Segurança (SIEM), Orquestração, Automação e Resposta de Segurança (SOAR) e Detecção e Resposta de Endpoint (EDR), os SOCs lutam contra a fadiga de alertas, altas taxas de falsos positivos (até 99% em alguns estudos) e o esgotamento (burnout) de analistas. Os frameworks existentes frequentemente dependem de configurações de autonomia estáticas ou binárias (ou totalmente manuais ou totalmente automatizadas), falhando em considerar a variabilidade da complexidade, criticidade e risco associados a diferentes tarefas de SOC. Além disso, as abordagens atuais frequentemente carecem de estruturas sistemáticas para gerenciar a tomada de decisão com Humano no Ciclo (Human-in-the-Loop - HITL), a calibragem de confiança e a autonomia escalável. Essa lacuna resulta em fluxos de trabalho ineficientes, onde analistas humanos são sobrecarregados pelo ruído, enquanto sistemas de IA carecem da supervisão necessária para incidentes de alto risco, novos ou ambíguos.

Metodologia

Os autores propõem um Framework Unificado de Colaboração Humano-IA fundamentado em uma relação triádica entre Autonomia, Confiança e o envolvimento do Humano no Ciclo (HITL). A metodologia envolve três componentes principais:

1. Modelagem Teórica de Autonomia e Confiança:

   • Autonomia ($A$): Definida como um valor escalar $A \in [0, 1]$, modelada como uma função da complexidade da tarefa ($C$), risco ($R$) e confiança ($T$): $A = 1 - (\lambda_1 C + \lambda_2 R)(1 - T)$. Esta equação postula que a autonomia diminui com maior complexidade e risco, mas aumenta com maior confiança.
   • Envolvimento HITL ($H$): Definido como o inverso da autonomia ($H = 1 - A$), variando do controle humano total à autonomia total da IA.
   • Confiança ($T$): Modelada como uma soma ponderada de explicabilidade ($E$), histórico de desempenho ($P$) e incerteza ($U$): $T = \alpha_1 E + \alpha_2 P + \alpha_3(1 - U)$.

2. Framework de Cinco Níveis de Autonomia:
   Inspirado no padrão SAE J3016 para automação de veículos, os autores mapeiam as operações de SOC em cinco níveis distintos de autonomia (0–4), alinhados com os níveis de analistas de SOC (Tier 1–4) e as funções do Framework de Cibersegurança do NIST (Identificar, Proteger, Detectar, Responder, Recuperar):

   • Nível 0 (Manual): Sem automação; analistas lidam com todas as tarefas.
   • Nível 1 (Assistido por IA): A IA fornece suporte à decisão (ex: pontuação de alertas); humanos retêm controle total.
   • Nível 2 (Semi-autônomo): A IA executa tarefas rotineiras, mas requer aprovação humana explícita para ações críticas.
   • Nível 3 (Condicionalmente Autônomo): A IA executa tarefas definidas autonomamente; humanos supervisionam (Humano-na-o-Ciclo / Human-on-the-Loop) e intervêm apenas em exceções.
   • Nível 4 (Totalmente Autônomo): A IA gerencia funções abrangentes com supervisão humana mínima (Humano-fora-do-Ciclo / Human-out-of-the-Loop), focando em governança e auditoria.

3. Integração de Consciência Situacional (SA):
   O framework incorpora a SA como um mediador central, decompondo-a em autoconsciência (reconhecer limitações), consciência do colega (entender papéis e estados cognitivos) e consciência do mundo (manter uma visão coerente do cenário de ameaças). Isso garante que os insights da IA sejam interpretados dentro dos modelos mentais humanos.

4. Validação Empírica (Estudo de Caso):
   O framework foi validado usando um cyber range simulado (ACDC Cyber Range) apresentando um agente de Grande Modelo de Linguagem (LLM) ajustado chamado CyberAlly. O CyberAlly, equipado com Geração Aumentada de Recuperação (RAG) e grafos de conhecimento, operou dentro de um exercício de Red Team vs. Blue Team envolvendo ambientes de TI/OT (sistemas portuários marítimos). O agente interagiu com SIEM (Wazuh), SOAR e analistas via interface de chat, progredindo através de níveis de autonomia baseados na complexidade do incidente e na confiança estabelecida.

Principais Contribuições

• Framework Triádico: O artigo formaliza a interação entre Autonomia, Confiança e HITL, oferecendo uma abordagem estruturada para a alocação dinâmica de tarefas em SOCs.
• Escala de Autonomia em Camadas: Introduz um modelo granular de cinco níveis de autonomia que vai além da automação binária, permitindo a delegação adaptativa baseada no risco da tarefa e na confiança do analista.
• Alinhamento de Funções: O framework mapeia níveis específicos de analistas de SOC (Tier 1–4) para correspondentes níveis de autonomia e configurações de HITL, esclarecendo responsabilidades desde a triagem inicial até a governança estratégica.
• Design de Fluxo de Trabalho Operacional: Detalha fluxos de trabalho colaborativos para Gestão de Alertas, Gestão de Ameaças e Resposta & Recuperação, demonstrando como IA e humanos podem investigar e decidir em conjunto.
• Evidência Empírica: Através do estudo de caso CyberAlly, o artigo fornece uma demonstração prática da viabilidade do framework, mostrando como um agente baseado em LLM pode reduzir falsos positivos e acelerar o tempo de resposta mantendo a supervisão humana.

Resultados

O estudo de caso envolvendo o agente CyberAlly no ACDC cyber range gerou os seguintes resultados quantitativos e qualitativos:

• Redução de Falsos Positivos: O agente de IA reduziu os alertas de falsos positivos de 70% para 35%, melhorando significativamente a razão sinal-ruído.
• Eficiência de Investigação: Os tempos de investigação para incidentes complexos (ex: uso indevido de credenciais, manipulação de OT) foram reduzidos de 3 horas para 1 hora (uma melhoria de 67%).
• Tempo de Resposta (MTTR): O Tempo Médio de Resposta foi reduzido de 8 horas para 90 minutos (uma redução de 80%) em cenários específicos envolvendo isolamento de endpoint e contenção de ameaças.
• Escala de Automação: A abertura de tickets automatizada aumentou de 10% para 75% do total de incidentes.
• Calibragem de Confiança: O estudo demonstrou que a confiança não é estática; ela evoluiu conforme a IA fornecia justificativas explicáveis e desempenho consistente, permitindo uma transição gradual do Nível 1 (HITL Total) para a autonomia de Nível 2/3 (Humano-na-o-Loop).

Significância e Alegações

O artigo alega que sua principal significância reside em fornecer uma abordagem estruturada, escalável e teoricamente fundamentada para integrar IA em SOCs sem substituir a expertise humana. Ao abordar a natureza de "caixa preta" da IA e a rigidez da automação atual, o framework possibilita SOCs Cognitivos, onde a IA atua como um aprimoramento confiável para a tomada de decisão humana.

Os autores afirmam que seu framework:

1. Preenche a Lacuna: Conecta modelos teóricos de autonomia e confiança com a implementação prática nos fluxos de trabalho de SOC.
2. Mitiga Riscos: Ao calibrar a autonomia com base na confiança e no risco, evita o viés de automação e garante a responsabilidade por decisões críticas.
3. Aumenta a Resiliência: Permite que os SOCs escalem operações e lidem com o volume das ameaças cibernéticas modernas, reduzindo simultaneamente o esgotamento e a carga cognitiva dos analistas.
4. Facilita a Evolução: O framework suporta a transição de SOCs reativos e baseados em regras para centros de operações de segurança proativos, adaptáveis e orientados ao aprendizado.

O artigo conclui que, embora desafios relativos ao drift de modelos, explicabilidade e adoção organizacional permaneçam, o framework proposto oferece um caminho viável para projetar arquiteturas de próxima geração de SOC que utilizem a IA para uma autonomia confiável.