Як Vega будує agentic cyber defense на Claude: detection, triage, investigation, oversight

Enterprise security data розкидані по SIEM, data lakes, cloud storage і vendor systems. Класичний підхід часто змушує ingest-ити або копіювати все в центральне сховище, що створює cost, latency і coverage trade-offs. Vega описує інший pattern: Security Analytics Mesh федеративно запитує дані там, де вони вже живуть, і дає reasoning layer спільний interface для investigations. Це змінює economics, але також підвищує ціну authorization mistake: один agent query може торкнутися дуже широкого telemetry surface.

Production architecture тому повинна починатися не з «під'єднаємо Claude до всіх логів», а з data/source registry, identity, tenant boundary, allowed query classes, sensitivity labels, retention, egress policy і cost guardrails. Federated access не скасовує governance; він просто переносить його ближче до query time. Якщо один MCP endpoint бачить багато security systems, саме він стає capability choke point, який треба версіонувати, моніторити й тестувати.

Trigger може бути detection signal, alert queue item, scheduled hunt або analyst request. Input: tenant/environment identity, immutable case ID, live query results, asset/context metadata, detection skill, threat intelligence, current policy і model-routing tier. Detection agent оцінює malicious/benign; triage agent задає priority; investigation agent пише та виконує bounded queries, збирає evidence і формує verdict. Oversight agent незалежно перевіряє reasoning до human review.

Integrations — existing SIEM, cloud/data-lake sources, storage, ticket/case systems і MCP interface поверх Security Analytics Mesh. Output повинен бути не просто narrative summary, а evidence package: query text/hash, source/time window, observed indicators, confidence, alternative hypotheses, missing coverage, proposed remediation і action authority. Якщо evidence не підтверджує claim, agent має abstain або позначити gap, а не «домалювати» атаку з типового playbook.

• Trigger → detection signal, alert, scheduled hunt або analyst request.
• Input → case/tenant identity + live federated evidence + detection skill + routing policy.
• AI → detect, prioritize, investigate, cross-check, propose optimization.
• Integrations → SIEM/data lakes/cloud storage через controlled mesh/MCP, case management та audit.
• Output → evidence-backed verdict і proposed action; detection-rule changes проходять engineer sign-off.

Vega описує окремі detection, triage, investigation та oversight roles. Це сильніший pattern, ніж один mega-agent, який сам створив hypothesis, сам знайшов докази й сам себе похвалив. Але oversight працює лише якщо має незалежний instruction set, власний access до evidence, окремий failure budget і не просто повторює той самий contaminated context. Інакше multi-agent architecture додає cost і латентність без реальної diversity контролю.

Для high-severity case oversight має перевіряти щонайменше tenant/account, source freshness, evidence-to-claim alignment, dangerous query scope, missing telemetry, alternative benign explanation, duplicated/partial tool outcomes і proposed action authority. На критичних verdicts human analyst бачить не chain-of-thought, а compact auditable evidence: які queries виконані, що знайдено, які controls пройдені й що залишилось невизначеним.

Публічний кейс Vega описує route-by-layer у межах Claude family: найглибше reasoning використовується там, де alert підтверджений і stakes високі, тоді як high-volume log analysis і summarization можуть йти через легші tiers. Це production-relevant pattern, бо security pipeline має одночасно quality і unit-economics constraint. Але routing policy повинна бути deterministic до model choice: task risk, evidence ambiguity, data sensitivity і action impact.

Небезпечний anti-pattern — routing лише за token cost. Cheap model не повинен приймати high-impact verdict тому, що budget майже вичерпано. Якщо confidence низька, data conflict високий або proposed action має великий blast radius, system має escalate quality tier або людину. Versioned router evals потрібні окремо від model evals: зміна routing threshold може погіршити production навіть без зміни самої foundation model.

Anthropic case прямо згадує golden datasets, hallucination measurement, precision/recall, exact-match і runnable rates для generated queries, а також prompt-injection hardening. Для security agent це базова вимога: retrieved log, ticket, repository text або attacker-controlled field може містити інструкцію, яка намагається змінити behavior. Retrieved content треба трактувати як data, а не як authority, і відокремлювати source plane від control plane.

Eval corpus має містити benign lookalikes, known attacks, rare attack chains, missing regions, stale telemetry, conflicting sources, injected instructions, adversarial log strings, malformed query outputs, cross-tenant identifiers, provider timeout і partial query execution. Окремо вимірюються false negatives, false positives, material omission, query executability, unsafe query scope, unsupported verdicts, time-to-evidence і escalation quality. Один aggregate accuracy number приховує саме ті failures, які потім стають інцидентами.

Detection/triage/investigation можуть бути highly autonomous, а optimization loop може навіть запропонувати покращення detection logic. Але публічний опис зберігає engineer sign-off на кожну зміну. Тому A4 доречний для reproduction: агент сам виконує багатокрокову investigation і формує candidate action, але не отримує безумовне право модифікувати production security controls або запускати destructive remediation.

Authority tiers можна розділити так: R0 read/query; R1 create case/note; R2 reversible enrichment/tagging; R3 proposed detection change with human approval; R4 containment action з exact-action approval та precondition; R5 destructive/irreversible actions поза autonomy моделі. Особливо важливі idempotency та reconciliation: якщо containment request timeout-нувся, система спочатку перевіряє authoritative endpoint state, а не надсилає дубль.

Anthropic/Vega повідомляють, що production deployments повертають приблизно 67% analyst time, можуть завершувати investigations до 44× швидше та зменшувати data cost до 82% проти legacy SIEM ingestion. Також наведений scan понад мільярда CloudTrail logs у 17 regions за 41 секунду. Це сильні reported signals масштабу, але публічний матеріал не дає незалежного experimental protocol, повного denominator або універсальної конфігурації для кожного customer.

Для власного business case слід рахувати cost per verified investigation, analyst minutes per accepted case, false-negative/false-positive cost, query compute/data scan, model/tool spend, telemetry coverage, incident containment time і reviewer burden. Найдешевша investigation не має цінності, якщо вона пропускає атаку; найточніша модель не окупається, якщо запускається на кожен низькоризиковий alert. Економіка живе на рівні risk-weighted outcome, а не price per million tokens.

Failure modes: wrong tenant, stale/partial logs, query fan-out runaway, MCP capability drift, prompt injection, hallucinated field/query, duplicate case, timeout після side effect, model/provider outage, data-residency mismatch. Controls: tenant isolation, query budget, allowlisted methods, strict schemas, source provenance, immutable evidence, regional routing, model/router versioning, oversight, human approval, kill switches і rollback. Dedicated regional control plane — окремий deployment boundary, а не просто dropdown у model selector.

Rollout: `offline replay on historical incidents → shadow hunts → read-only triage → analyst-reviewed investigation → bounded case enrichment → proposed detection changes → narrowly approved remediation`. Pattern підходить SOC/MDR/cloud-security teams із великим telemetry footprint і зрілим case management. Перед A4 потрібні golden datasets, query sandbox, tenant controls, action taxonomy та on-call ownership. Якщо evidence pipeline не надійний, агент лише автоматизує сліпу зону — красиво, швидко і зовсім не в той бік.