Deep Hat Sift menjadikan melangkau larian ejen suatu keputusan yang mesti diluluskan

Ejen operasi boleh menyemak amaran dengan cemerlang tetapi masih menghabiskan sebahagian besar harinya menyimpulkan bahawa tiada tindakan diperlukan. Pada jumlah mencukupi, larian yang betul tetapi tanpa peristiwa penting itu menjadi masalah reka bentuk sistem.

Kindo mengumumkan Deep Hat Sift pada 28 Oktober 2026, model keputusan System One yang belajar daripada keputusan ejen dan memberi skor kepada peristiwa masuk yang wajar menerima larian. Ia bermula dalam mod bayangan, meneruskan semua peristiwa, dan hanya mula menahan selepas seseorang meluluskan ambang. Pengumuman Kindo.

Bahagian menarik ialah kelulusan terhadap sesuatu yang tidak berlaku: larian yang tidak pernah bermula. Panduan ini menerangkan keputusan itu, membandingkannya dengan kawalan kos lebih mudah dan menggariskan pilot yang mengukur kes penting terlepas bersama panggilan yang dielakkan.

Pusat pemantauan keselamatan fizikal University of Maryland, diterbitkan pada 2008. Konteks sejarah pemantauan amaran; ini tidak menunjukkan Kindo, Sift atau papan pemuka keselamatan siber. Foto: UMD-Eskin, domain awam; saiz diubah dengan ruang tepi. Sumber imej · Lesen dan catatan imej. Rujukan produk rasmi.

Menjimatkan larian mengubah perkara yang boleh diperhatikan sistem

Apabila setiap peristiwa sampai kepada ejen, sistem boleh memeriksa setiap keputusan. Sebaik penapis mula menahan peristiwa, laluan maklum balas mudah itu berubah. Peristiwa yang dianggap paling kurang menarik menjadi peristiwa yang tidak lagi menerima perhatian penuh ejen.

Ini membezakan penapisan daripada memilih model lebih murah untuk permintaan sama. Model lebih murah masih menghasilkan hasil bagi setiap peristiwa. Keputusan menahan membuang satu pelaksanaan daripada laluan biasa. Pelan pengukuran mesti mengambil kira hasil yang hilang itu.

Pandangan kami: melangkau ialah tingkah laku produk dengan pemilik sendiri. Seseorang mesti memutuskan bukti yang menjadikannya boleh diterima, jenis peristiwa yang kekal dilindungi dan tindakan apabila sumber berubah. Menganggapnya pengoptimuman tidak kelihatan menyukarkan semakan keputusan itu.

Anggap penapis sebagai meja penghantaran tugas. Tugas bergunanya menghantar kerja betul sambil merekod kerja yang ditinggalkan. Mutu penghantaran penting kerana pakar hiliran tidak boleh menyiasat sesuatu yang tidak pernah diterimanya.

Untuk pilot, takrif tugas ejen sebelum takrif kejayaan penapis. Adakah ejen mengenal pasti insiden, meminta konteks, menghalakan tiket atau menyediakan siasatan? “Memerlukan larian” patut sepadan dengan tugas itu. Jika tidak, model boleh mempelajari keputusan konsisten yang tidak sepadan dengan tujuan operasi pasukan.

Penerangan asli tentang aliran bayangan kepada kelulusan dalam pengumuman Kindo. Ini pandangan operasi dipermudah, bukan rajah pelaksanaan.

Mod bayangan mewujudkan perbandingan sebelum mengubah penghantaran

Siaran Kindo pada 28 Oktober menghuraikan tempoh pemerhatian awal apabila Sift memberi skor sementara semua peristiwa masih sampai kepada ejen sasaran. Kemudian ia mempratonton penahanan dicadangkan berdasarkan hasil sumber itu; kelulusan disertai alasan bertulis, dan sampel rawak terus diteruskan selepas pengaktifan untuk mendedahkan kes terlepas. Kaedah operasi diumumkan.

Urutan itu memberi pasukan operasi perbandingan andaian yang berguna. Sebelum mengubah penghantaran, mereka boleh bertanya larian terdahulu yang akan hilang pada titik operasi dicadangkan. Soalan itu cukup nyata untuk disemak dengan pihak yang bertanggungjawab terhadap sumber dan ejen.

Pratonton patut merangkumi contoh selain agregat. Kumpulan besar peristiwa rutin boleh mendominasi kadar utama, sementara kategori kecil tetapi penting berprestasi buruk. Minta pelulus memeriksa peristiwa yang mahal jika terlepas serta peristiwa dekat sempadan cadangan.

Tempoh pemerhatian patut mengikut liputan. Hari bekerja sibuk berbeza daripada hujung minggu, hari pelancaran atau insiden luar biasa. Tempoh kalendar hanya berguna jika mengandungi keadaan penting kepada keputusan. Jangan menganggap bilangan hari tenang tertentu sebagai isyarat kesediaan sejagat.

Kelulusan patut menamakan keadaan operasi dimaksudkan. Rekod seperti “diluluskan untuk sumber dan ejen ini, dengan pengecualian serta sela semakan ini” lebih berguna daripada ya semata-mata. Ia memberi perkara untuk ditinjau apabila skema sumber, prom ejen atau keutamaan operasi berubah.

Tiga barisan contoh memerlukan kewaspadaan berbeza

Amaran infrastruktur berulang boleh menjadi titik mula terhad yang baik

Bayangkan barisan SRE menerima banyak pengulangan pemberitahuan diketahui semasa penyelenggaraan rutin. Pasukan sudah memahami sumber dan mempunyai laluan terdokumen bagi pengecualian mendesak. Pilot boleh menilai sama ada ejen berulang kali menghabiskan masa mencapai keputusan tiada tindakan yang sama.

Mulakan dengan memisahkan pengendalian pendua diketahui daripada keputusan baharu. Jika peraturan korelasi mudah sudah menggabungkan peristiwa serupa, kekalkan asas itu. Gunakan penilaian model untuk mengkaji variasi selebihnya yang menjadikan larian ejen penuh mahal atau tidak perlu.

Semasa pemerhatian bayangan, bandingkan langkauan dicadangkan dengan tindakan sebenar ejen. Cari perubahan keterukan, perkhidmatan terjejas atau konteks yang membezakan peristiwa yang kelihatan serupa. Soalan berguna ialah sama ada penapis mengekalkan perbezaan yang sudah dianggap penting oleh operasi.

Kriteria kejayaan contoh boleh menetapkan kadar semakan tertentu dan tiada peristiwa terlepas dalam kategori dilindungi sepanjang penilaian. Syarat itu dipilih pasukan; ia bukan jaminan Sift sejagat. Latihan patut menghasilkan keputusan jelas tentang satu sumber, bukan pelaksanaan seluruh organisasi serta-merta.

Barisan laporan pancingan data memperlihatkan kos kes terlepas

Pertimbangkan pasukan keselamatan contoh yang pekerjanya melaporkan mesej mencurigakan. Banyak laporan mungkin tidak memerlukan tindakan lanjut, tetapi mesej jarang yang boleh ditindaklanjuti boleh menjadi amat penting. Ekonomi penapis bergantung pada ketidakseimbangan itu.

Untuk sumber ini, periksa contoh yang menyerupai surat-menyurat biasa tetapi mengandungi tanda yang dipentingkan pasukan. Kekalkan alat keselamatan hiliran dan proses insiden. Penapis di hadapan ejen AI patut dinilai untuk keputusan penghalaan itu, bukan dianggap seluruh program pengesanan.

Penilaian patut melibatkan penganalisis yang memahami akibat siasatan terlepas. Pemegang kepentingan kewangan boleh membantu mengira kos larian, tetapi tidak boleh seorang diri menentukan liputan insiden yang boleh diterima. Ambang ialah pilihan operasi bersama yang kelulusannya memerlukan kepakaran betul.

Semak juga kesilapan ejen sendiri. Belajar meramal penolakan ejen boleh meniru titik butanya. Set berasingan yang disemak penganalisis boleh mendedahkan kes apabila ejen dan penapis saling bersetuju tetapi kedua-duanya bercanggah dengan hasil dikehendaki pasukan.

Barisan tiket memerlukan takrif tindakan berguna

Dalam meja perkhidmatan contoh, tiket mungkin kelihatan rutin tetapi masih memerlukan pengakuan penerimaan, pemasa tahap perkhidmatan atau langkah penghalaan. Oleh itu, “tidak perlu siasatan” dan “tidak perlu larian ejen” mungkin label berbeza. Takrif tepat perkara yang boleh ditinggalkan oleh pelaksanaan ditahan.

Kekalkan tindakan aliran kerja wajib di luar keputusan kabur jika perlu. Contohnya, sistem tiket boleh kekal bertanggungjawab terhadap resit wajib sementara model membantu memutuskan sama ada ejen penyiasat tertentu patut berjalan. Ini menjadikan sempadan lebih mudah dijelaskan.

Uji tiket daripada pasukan, bahasa dan jenis permintaan berbeza. Penapis yang kebanyakannya dilatih pada permintaan rutin satu jabatan boleh tidak sesuai dengan corak eskalasi jabatan lain. Penilaian khusus sumber lebih berguna daripada menganggap jumlah sahaja menjadikan dua barisan setara.

Untuk pilot ini, output mungkin barisan siasatan lebih bersih, bukannya tiket lebih sedikit. Ukur serahan manusia dan masa menuju tindakan bermakna seterusnya. Ini menghubungkan penilaian dengan mutu perkhidmatan, bukan kiraan panggilan model yang sempit.

Empat kawalan kos menjawab soalan berbeza

Perbandingan berikut menghuraikan pilihan reka bentuk yang boleh dinilai pasukan. Ia tidak mendakwa pelaksanaan pembekal tertentu menang setiap kategori. Beberapa kawalan mungkin sesuai dalam sistem sama kerana beroperasi pada titik berbeza.

Perbandingan ini bermula dengan keputusan, membantu mengelakkan pengiraan penjimatan berganda. Jika peraturan korelasi sudah membuang peristiwa berulang, penapis tidak boleh turut mendakwa menghalang larian hiliran sama. Takrif asas selepas kawalan sedia ada, kemudian kira kesan tambahan.

Masukkan kos operasi penapis sendiri. Pengehosan, pemantauan, larian sampel dan semakan manusia semuanya termasuk dalam perakaunan pilot. Bil lebih kecil bagi satu endpoint pembekal berguna, tetapi hanya satu komponen aliran kerja lengkap.

Kualiti patut dibincangkan bersama kos. Ambang yang menjimatkan banyak panggilan sambil menyembunyikan kerja berguna telah mengubah perkhidmatan. Pasukan patut boleh menjelaskan pertukaran itu menggunakan bahasa barisan sebenarnya, bukan satu peratus ketepatan umum.

Gunakan sampel kes terlepas untuk bertanya soalan lebih baik

FAQ Kindo, disemak pada 2 November, menerangkan sampel terlepas lalu lalai 3%, boleh dikonfigurasi dari 1% hingga 5%, dan minimum label awal lalai 400 keputusan. Ia menyatakan hanyutan atau pelanggaran siling pencetus mengembalikan sistem kepada tingkah laku bayangan. Ini tetapan operasi lalai diterbitkan, bukan jaminan bukti mencukupi bagi setiap beban kerja.

Pengiraan contoh menunjukkan sebab liputan sampel penting. Andaikan 10,000 peristiwa akan ditahan dan 3% disampel; itu menghasilkan sekitar 300 peristiwa sampel. Jika kes penting jarang berlaku, pasukan masih perlu memeriksa sama ada sampel mewakili kategori yang penting jika terlepas. Aritmetik ini menggambarkan persoalan pensampelan dan tidak menganggarkan kadar ralat Sift sebenar.

Laporkan sekurang-kurangnya dua penyebut dalam penilaian sendiri. Satu menerangkan peristiwa boleh tindakan yang akan terlepas oleh penapis. Satu lagi menerangkan bahagian peristiwa ditahan yang kemudian dinilai boleh ditindaklanjuti. Kedua-duanya menjawab soalan operasi berbeza: liputan kerja penting dan pencemaran set dilangkau.

Periksa pecahan mengikut jenis sumber, keterukan, pasukan dan perubahan format input apabila relevan. Agregat boleh bertambah baik sementara kategori kecil merosot. Kategori patut mencerminkan risiko dan beban operasi, bukan pengelompokan yang paling memudahkan carta dilukis.

Akhirnya, asingkan keputusan ejen daripada hasil yang disemak secara bebas. Persetujuan dengan ejen mengukur sejauh mana Sift meramal ejen itu. Dengan sendirinya, ia tidak membuktikan pertimbangan ejen betul. Kedua-dua ukuran boleh berguna apabila maknanya kekal jelas.

Panduan semakan keputusan asli. Ia menggambarkan perkara yang patut dibandingkan pengendali tanpa nilai penjimatan atau ketepatan terukur. Pensampelan dan kelulusan didokumentasikan pada halaman produk Kindo.

Pelaksanaan semasa mempunyai batasan yang mesti dimasukkan dalam pilot

Setakat 2 November, Kindo menghuraikan Sift sebagai perkhidmatan hos sendiri untuk ejen Kindo. FAQ menyenaraikan pelaksanaan Docker Compose satu hos, tanpa pengelompokan atau failover, serta akaun setempat tanpa SSO atau MFA. Tiada percubaan percuma atau peringkat penggunaan Sift berasingan. FAQ keluaran semasa.

Syarat itu mempengaruhi tempat pilot sesuai dijalankan. Semak sempadan pelaksanaan bersama pihak bertanggungjawab terhadap identiti, ketersediaan dan respons insiden. Demonstrasi penskoran berjaya tidak boleh menjawab sama ada perkhidmatan memenuhi keperluan operasi organisasi.

1. Namakan satu sumber, ejen dan pemilik keputusan. Tulis tugas ejen dan perkara yang ditinggalkan oleh larian dilangkau. Kekalkan tanggungjawab pengesanan dan tiket sedia ada.
2. Semak keperluan pelaksanaan semasa dengan Kindo. Sahkan susunan pengehosan tersedia dan sokongan operasi yang menjadi tanggungjawab pasukan.
3. Takrif asas diluluskan. Masukkan peraturan, korelasi dan penghalaan model sedia ada supaya pilot mengukur nilai tambahan.
4. Mulakan dalam mod bayangan. Kumpul keputusan mewakili penggunaan dan periksa penahanan cadangan merentas kategori penting sebelum mengubah penghantaran.
5. Semak ralat secara bebas. Masukkan contoh disemak penganalisis dan kes dilindungi, bukan bergantung sepenuhnya pada persetujuan dengan ejen sasaran.
6. Luluskan titik operasi dan alasan khusus. Rekod skop, penyemak, pelan pensampelan dan keadaan yang memerlukan semakan lain.
7. Uji laluan kembali ke bayangan. Sahkan paparan pengendali dan cara seluruh aliran kembali sampai kepada ejen. Kekalkan kos, kualiti dan ketersediaan dalam penilaian akhir.

Hasil patut berupa keputusan operasi terhad dengan pemilik. Jika pilot mendedahkan kategori tidak pasti, mengekalkannya pada laluan analisis penuh ialah hasil berguna. Tujuannya mempelajari tempat penahanan berasas, bukan memaksimumkan peristiwa dilangkau pada peluang pertama.

Panggilan dielakkan bernilai apabila kerja yang tidak disembunyikannya boleh dijelaskan

Sift membawa soalan penting ke aliran ejen: peristiwa mana wajar menerima pelaksanaan penuh, dan siapa bertanggungjawab terhadap sempadan itu? Pendekatan bermula dengan bayangan memberi tempat meneliti keputusan sebelum digunakan untuk mengubah penghantaran.

Ukuran berkekalan ialah sama ada operasi boleh menunjukkan larian dijimatkan, kes terlepas diperhatikan dan alasan ambang semasa masih sesuai. Itulah yang menukar ketiadaan aktiviti menjadi keputusan yang boleh dipertanggungjawabkan.

Sumber

• Pengumuman Deep Hat Sift Kindo, diedarkan melalui PR Newswire, 28 Oktober 2026, 09:00 ET.
• Kindo: butiran produk Deep Hat Sift dan FAQ keluaran semasa, disemak pada 2 November 2026.

Simpan bahan di sebalik sesuatu keputusan

Telli.sh ialah satu pilihan untuk menyimpan bahan sumber yang dibenarkan bersama catatan yang telah anda semak. Cipta ruang kerja catatan.