Sophos、OpenAI「Daybreak」で脅威調査時間を96%削減　38分から89秒へ短縮、案件の過半数をAIが自律解決

要点

• 英セキュリティ大手のSophosは、OpenAIのプログラム「Daybreak」を導入し、AIエージェントによる脅威調査・対応の平均時間を従来の約38分から約89秒へと96%短縮した。

• 同社のMDR（マネージド検知・対応）サービスにおいて、全ケースの52%がAIエージェントによりエンドツーエンドで自動解決されている。

• 調査エージェントと計画立案モデルの自律ループにより、情報収集から推奨対処の提示までを自動化した。

• 破壊的リスクを伴う処理には人間の監督を必須とし、3つの運用モードで顧客の制御権を確保している。

• 米OpenAIは2026年10月9日、サイバーセキュリティ大手の英Sophos（ソフォス）がOpenAIの先端モデル活用プログラム「OpenAI Daybreak」を導入し、脅威調査プロセスを大幅に効率化したと発表した。Sophosは独自に蓄積した脅威インテリジェンスとOpenAIのモデルを組み合わせ、インシデント調査にかかる平均時間を従来の約38分から約89秒へと96%削減したという。

膨大なアラートを精査する監視網と従来の課題

Sophosは世界で62万5,000以上の組織をサイバー攻撃から保護しているセキュリティ企業だ。同社のAIネイティブ防衛システム「Sophos Fusion」は、500以上の外部連携や自社製品からデータを集約し、日々数兆件のイベントを処理している。そこから絞り込まれた1日あたり1,000〜2,000件のケースが、世界9拠点のSOC（セキュリティオペレーションセンター: 監視・対応の専門組織）で精査される。

従来、これらのケースの調査や対応は主に人間の専門知識に依存しており、平均所要時間は約38分だった。同社CTOのJohn Peterson（ジョン・ピーターソン）氏によれば、これでも一般的なプロ向けSOCの上位96%より高速な水準だったという。しかし、攻撃側もオープンウェイトモデルなどのAIを利用して脆弱性の発見や攻撃の高速化を図る中、防衛側にもさらなる即応性が迫られていた。

調査から計画、対処を連携するエージェント構造

Sophosは「Daybreak」を通じ、独自の脅威知見や対応手順（プレイブック）をOpenAIのモデルと統合して複数のエージェントを構築した。

インシデントが発生すると、まず「調査エージェント」がシステム環境や検知内容、IoC（侵害指標: 攻撃の痕跡データ）、脅威情報を収集する。続いて「プランニングモデル」が計画・実行・レビューのループを回し、調査手順の実行やアナリスト向け推奨アクションを含む要約を作成する。さらに別のエージェントが一部の対応措置を実行する仕組みだ。Peterson氏によれば、現在では扱うケースの約半分がこれらのエージェントで自動処理されているという。

89秒への短縮とセキュリティ人材不足への対応

エージェント導入により、対象ケースの平均対応時間は従来の約38分から約89秒へと短縮され、96%の時間削減を達成した。アナリストが定めた基準内で、MDR（マネージド検知・対応: 脅威検知から対処までを専門家が代行するサービス）ケースの52%がAIによって完結している。

この自動化は、セキュリティ業界全体で課題となっている人材不足への有効な対応策でもある。同社は人材の純増に頼る代わりに計算資源（コンピュート）をスケールさせる体制を整えた。これによりアナリストは定型調査から解放され、高度な専門知識が求められる重大な脅威や例外的な判断に専念できるようになったとしている。

人間の判断を維持する3つの運用モード

自動化を推進する一方、同社は人間の関与と制御権を重視している。顧客向けMDRには以下の3つの運用モードが用意されている。

• Notify（通知）: Sophosが調査と推奨策の提示を行い、実際の対処は顧客自身が実施する。
• Collaborate（協調）: アクション実行前にSophosと顧客が協議を行う。
• Authorise（承認・委任）: Sophosが顧客に代わり直接対処を実行する。

これらは人間の担当者にもAIエージェントにも同一に適用される。システムに破壊的な影響を及ぼしうる操作には人間の監視が必須とされ、Peterson氏は「エージェントに任せるのが不安な処理はすべて人間の判断に委ねられる」と説明している。

今後の機能拡張と「多層防御」の重要性

Sophosは今後もエージェントの対応能力を高度化し、適用ユースケースを広げていく方針だ。Peterson氏は「Daybreakのような取り組みによって、攻撃者の一歩先を行く機会が得られる」と述べている。

同時に同氏は、セキュリティリーダーに向けて基本原則への立ち返りを促した。パッチ適用は必須だが既知の脆弱性しか防げないため、エンドポイント保護、MFA（多要素認証）、ネットワーク分離、強固な監視運用を組み合わせた多層防御アプローチの維持が不可欠であると指摘する。脆弱性の悪用がかつてない規模で加速する中、基本の徹底こそがこれまで以上に重要であると語っている。