Sophos senkt Aufwand für Bedrohungsanalyse mit OpenAI Daybreak um 96 Prozent
Mit OpenAIs Daybreak verkürzt Sophos die Untersuchung von Cyber-Bedrohungen deutlich und automatisiert über die Hälfte der MDR-Fälle, ohne die menschliche Kontrolle aufzugeben.
Mit OpenAI Daybreak verbindet Sophos modernste Intelligenz mit Cybersecurity-Expertise, um Bedrohungen schneller zu untersuchen und Kunden im grossen Massstab zu schuetzen.
durchschnittliche Reaktionszeit bei Faellen mit KI-Agenten
Verkuerzung der Untersuchungszeit durch OpenAI-Modelle
Teilen Der Vorsprung bleiben, waehrend sich das Zeitfenster der Verteidiger verkuerzt Der Vorsprung bleiben, waehrend sich das Zeitfenster der Verteidiger verkuerzt Einblick in den Rollout Die Urteilsfaehigkeit bleibt im Mittelpunkt Ergebnisse auf einen Blick Wie es weitergeht Der Vorsprung bleiben, waehrend sich das Zeitfenster der Verteidiger verkuerzt Einblick in den Rollout Die Urteilsfaehigkeit bleibt im Mittelpunkt Ergebnisse auf einen Blick Wie es weitergeht Der Vorsprung bleiben, waehrend sich das Zeitfenster der Verteidiger verkuerzt Frontier-KI veraendert die Cybersecurity auf beiden Seiten. Fortschrittliche Modelle koennen Verteidigern helfen, Bedrohungen schneller zu finden und zu untersuchen. Doch diese Faehigkeiten verbreiten sich zunehmend auch auf Open-Weight-Modelle, was Angreifern neue Wege eroeffnet, Schwachstellen zu entdecken und deren Ausnutzung zu beschleunigen.
Sophos ist eines der Unternehmen, das sich ihnen in den Weg stellt, und schuetzt ueber 625.000 Organisationen ueber Branchen und Regionen hinweg. „Wir sehen eine riesige Vielfalt unterschiedlicher Angriffe“, sagt John Peterson, Chief Technology Officer des Unternehmens. „In vier Jahrzehnten im Cybersecurity-Geschaeft haben wir enorme Expertise im Kampf dagegen aufgebaut.“
Durch OpenAI Daybreak verbindet Sophos OpenAI-Modelle mit seiner eigenen Threat Intelligence, Response-Playbooks und Sicherheitskompetenz. Ziel ist es nicht, Analysten einfach ein weiteres Werkzeug an die Hand zu geben. Vielmehr soll die Wirkung der Expertise von Sophos auf jeden geschuetzten Kunden ausgeweitet werden.
„Sophos bringt die Domänenexpertise und das Know-how mit, um Angriffe im grossen Massstab zu bekämpfen. Programme wie Daybreak und Unternehmen wie OpenAI bringen Frontier-Intelligenz mit, die es uns ermoeglicht, diese Domänenexpertise zu skalieren und alle unsere Kunden zu unterstuetzen.“
Im Zentrum der Arbeit steht Sophos Fusion, das KI-native Cyber-Defense-System von Sophos, zu dem auch Sophos Managed Detection and Response (MDR) gehoert. Es vereint Sensordaten aus mehr als 500 Drittanbieter-Integrationen mit den Produkten von Sophos selbst. Zusammen erzeugen diese Sensoren jeden Tag Billionen von Ereignissen, die Sophos zu rund 1.000 bis 2.000 Faellen verdichtet, die seine neun Security Operations Centers untersuchen.
Durch Daybreak aufgebaute Agenten haben veraendert, wie diese Faelle bearbeitet werden. Ein Untersuchungsagent sammelt fuer jeden Fall den Kundenkontext, Erkennungen, Indicators of Compromise (IoCs) und relevante Threat Intelligence. Ein Planungsmodell erstellt daraufhin einen Plan-Ausfuehrung-Ueberpruefung-Zyklus: Es erstellt einen Untersuchungsplan, arbeitet die Schritte ab und erzeugt eine Zusammenfassung mit empfohlenen Reaktionsmassnahmen, die Analysten pruefen. Andere Agenten koennen Teile der Reaktion ausfuehren.
Vor Daybreak hing die Untersuchung und Bearbeitung eines Falls in erster Linie von menschlicher Expertise ab. Der bestehende Prozess von Sophos dauerte im Durchschnitt etwa 38 Minuten, eine Leistung, die laut Peterson besser war als die von 96% der professionellen Security Operations Centers.
„Dank der Agenten, die wir im Rahmen des Daybreak-Programms aufbauen konnten, ist die durchschnittliche Reaktionszeit fuer Faelle, die diese Agenten nutzen, auf etwa 89 Sekunden gesunken. Rund die Haelfte der von uns bearbeiteten Faelle wird inzwischen von Agenten automatisiert, die wir mit den Daybreak-Modellen entwickelt haben.“
Sophos hat eine Kundenkontrolle in seinen MDR-Dienst integriert, und zwar ueber drei Betriebsmodi:
Benachrichtigen: Sophos untersucht den Fall und empfiehlt eine Reaktion, doch der Kunde handelt.
Zusammenarbeiten: Sophos und der Kunde arbeiten zusammen, bevor Massnahmen ergriffen werden.
Autorisieren: Sophos kann direkt im Namen des Kunden reagieren.
Dieselben Grenzen gelten, unabhaengig davon, ob die Arbeit von einer Person oder einem Agenten erledigt wird. Sophos nutzt Automatisierung, um schnell zu handeln und die Zeit der Analysten besser zu nutzen, doch potenziell destruktive Aktionen erfordern weiterhin das entsprechende Mass an menschlicher Kontrolle.
„Alles, was ein Agent aus unserer Sicht nicht uebernehmen sollte, wird an das menschliche Urteil uebergeben“, bestaetigt Peterson.
Die durchschnittliche Reaktionszeit fuer Faelle mit Agenten wurde von rund 38 Minuten auf 89 Sekunden gesenkt.
Sophos kann damit 52% der MDR-Faelle mithilfe von KI von Anfang bis Ende abschliessen, innerhalb der von Sophos-Analysten festgelegten Grenzen.
Kunden erhalten eine schnellere und konsistentere Untersuchungserfahrung.
Sophos kann Rechenleistung skalieren, anstatt auf ein entsprechendes Wachstum bei knappen Cybersecurity-Fachkraeften angewiesen zu sein.
Die Aufmerksamkeit der Analysten wird auf die Bedrohungen, Ausnahmen und Entscheidungen zurueckgelenkt, bei denen ihre Expertise am wichtigsten ist.
Peterson zufolge wird Sophos die Faehigkeiten seiner Agenten weiter ausbauen. „Die Reaktionsfaehigkeiten werden zunehmend ausgefeilter werden, und wir werden das Spektrum der Anwendungsfaelle erweitern, die wir mit den von uns entwickelten Agenten abdecken.“
„Mit Programmen wie Daybreak haben wir die Moeglichkeit, der Angreifer-Community einen Schritt voraus zu bleiben.
Sein Rat an andere Sicherheitsverantwortliche ist einfach: „Das Wichtigste, was Sicherheitsverantwortliche morgen tun sollten, ist, sich wieder auf die Sicherheitsgrundlagen ihrer Organisation zu konzentrieren“, sagt er. „Dazu gehoert natuerlich Patching. Aber Patches beziehen sich immer nur auf Schwachstellen, die dem Anbieter bekannt sind.“
Die Antwort liegt in einem „mehrstufigen Sicherheitsansatz“, der Endpoint-Schutz, Multifaktor-Authentifizierung (MFA), Netzwerksegmentierung und leistungsfaehige Security Operations umfasst. „Schwachstellen werden in alarmierendem Tempo entdeckt und in einem Ausmass ausgenutzt, das wir noch nie gesehen haben. Deshalb bin ich ueberzeugt, dass es heute wichtiger ist denn je, die Grundlagen gut zu beherrschen.“
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
With OpenAI Daybreak, Sophos combines frontier intelligence with cybersecurity expertise to investigate threats faster and protect customers at scale.
average response time for cases using AI agents
reduction in investigation time using OpenAI models
Share Staying ahead as the defender’s window narrows Staying ahead as the defender’s window narrows Inside the rollout Keeping judgement at the centre Results at a glance What’s next Staying ahead as the defender’s window narrows Inside the rollout Keeping judgement at the centre Results at a glance What’s next Staying ahead as the defender’s window narrows Frontier AI is changing cybersecurity on both sides (opens in a new window). Advanced models can help defenders find and investigate threats faster. But those capabilities are also spreading to open-weight models, giving attackers new ways to discover vulnerabilities and accelerate exploitation.
Sophos (opens in a new window) is one of the companies standing in their way, protecting more than 625,000 organisations across sectors and regions. “We see a huge variety of different attacks,” says John Peterson, the company’s Chief Technology Officer. “We’ve cultivated vast expertise in combating them over four decades in the cybersecurity business.”
Through OpenAI Daybreak, Sophos is combining OpenAI models with its own threat intelligence, response playbooks and security expertise. The aim isn’t simply to give analysts another tool. It’s to increase the impact of Sophos’s expertise across every customer it protects.
“Sophos brings the domain expertise and the know-how to combat attacks at scale. Programmes like Daybreak, and companies like OpenAI, bring frontier intelligence that allows us to take that domain expertise and scale it to support all of our customers.”
At the centre of the work is Sophos Fusion, the Sophos AI-native cyber defense system that includes Sophos Managed Detection and Response (MDR). It brings together sensor data from more than 500 third-party integrations alongside Sophos’s own products. Together, those sensors generate trillions of events every day, which Sophos distills into roughly 1,000 to 2,000 cases for its nine security operations centres to investigate.
Agents built through Daybreak have changed how those cases are handled. An investigation agent gathers the customer context, detections, indicators of compromise (IoCs) and relevant threat intelligence for each case. A planning model then creates a plan–execute–review loop: building an investigation plan, completing the steps and producing a summary with recommended response actions for analysts to review. Other agents can carry out parts of the response.
Before Daybreak, investigating and responding to a case depended primarily on human expertise. Sophos’s existing process averaged around 38 minutes — performance Peterson says was better than 96% of professional security operations centres.
“Now, because of the agents we’ve been able to build through the Daybreak programme, the average response time for cases using those agents has fallen to about 89 seconds. About half of the cases we handle are now being automated by agents we developed using the Daybreak models.”
Sophos has built customer control into its MDR service through three operating modes:
Notify: Sophos investigates the case and recommends a response, but the customer acts.
Collaborate: Sophos and the customer work together before action is taken.
Authorise: Sophos can respond directly on the customer’s behalf.
The same boundaries apply whether work is completed by a person or an agent. Sophos uses automation to move quickly and make better use of analysts’ time, but potentially destructive actions still require the right level of human oversight.
“Anything we don’t feel comfortable with an agent handling gets passed off for human judgement,” Peterson confirms.
Reduced the average response time for cases using agents from approximately 38 minutes to 89 seconds.
Enabled Sophos to resolve 52% of MDR cases end-to-end with AI, within boundaries calibrated by Sophos analysts.
Gives customers a faster and more consistent investigation experience.
Helps Sophos scale compute rather than relying on equivalent growth in scarce cybersecurity headcount.
Returns analysts’ attention to the threats, exceptions and decisions where their expertise matters most.
Peterson says Sophos will keep expanding what its agents can do. “The response capabilities are going to continue to become more sophisticated, and we’re going to broaden the range of use cases we address with the agents we’ve built.”
“With programmes like Daybreak, we have an opportunity to stay a step ahead of the attacker community.”
His advice for other security leaders is simple: “ The one thing security leaders should do tomorrow is really come back to focusing on the security fundamentals for their organization, ” he says. “ That of course includes patching. But patches are only ever going to include vulnerabilities that are known by the vendor.”
The answer is to maintain “a layered security approach” that includes endpoint protection, multifactor authentication (MFA), network segmentation and strong security operations. “ Vulnerabilities are being discovered at an alarming rate and exploited at a scale that we’ve never seen. So I think doing the fundamentals well is more important today than it’s ever been.”