استلهم خبراء الأمن السيبراني من كتاب “التفكير السريع والبطيء” لعالم النفس دانيال كانيمان، الحائز على جائزة نوبل، لتفسير التحديات التي تواجه فرق الأمن في تصميم بنية الذكاء الاصطناعي داخل مراكز العمليات الأمنية (SOC). كانيمان يميز بين نظامين في التفكير:
- النظام 1 (السريع): تلقائي، حدسي، يعالج 95% من الإدراك البشري.
- النظام 2 (البطيء): منطقي، متأنٍ، يعالج 5% من الإدراك، لكنه محدود القدرة ويُرهق بسرعة.
هذا النموذج الفكري وجد انعكاسًا مباشرًا في عالم الأمن السيبراني، حيث أظهرت دراسة على أكثر من 25 مليون تنبيه أن 98% من التنبيهات يمكن معالجتها آليًا، بينما لا تتطلب سوى 2% تدخلًا بشريًا. النسبة تكاد تتطابق مع ما وصفه كانيمان.
العقل السريع في الـ SOC
الغالبية العظمى من تنبيهات الأمن السيبراني هي مهام آلية: هل الملف خبيث؟ هل تسجيل الدخول طبيعي؟ هل عنوان IP ظهر سابقًا؟ هذه الأسئلة لا تحتاج إلى نقاش مطول، بل إلى إجابات فورية على مدار الساعة. عندما يُجبر المحللون على معالجة هذه المهام يدويًا، فإنهم يتباطأون ويبدأون في تجاهل التنبيهات الأقل خطورة، مما يؤدي إلى إغفال عشرات التهديدات الحقيقية المختبئة في “ضوضاء” التنبيهات.
هنا يأتي دور العقل السريع للـ SOC: أنظمة ذكاء اصطناعي قادرة على إجراء تحقيقات جنائية دقيقة بشكل آلي، تغلق الحالات غير المهمة، وتعرض على المحللين فقط القضايا التي تستحق التدخل البشري، بنسبة دقة تصل إلى 98% وفي أقل من دقيقتين.
العقل البطيء في الـ SOC
أما العقل البطيء فيتجسد في أدوات مثل Claude وCodex وCursor، حيث تُستخدم في المهام التي تحتاج إلى تحليل متعمق وحكم بشري، مثل:
- تحليل القضايا المعقدة
- هندسة قواعد الكشف
- إعداد تقارير الحوادث
- الصيد السيبراني بناءً على تقارير استخباراتية
هذه الأدوات لا تبدأ من الصفر، بل من تحقيق مكتمل أعده العقل السريع، مما يتيح للمحللين التركيز على الحكم والتفسير بدلًا من الغرق في تفاصيل أولية.
أنماط الفشل الحالية
تشير الدراسات إلى أن فرق الأمن تقع في فخّين رئيسيين:
- الفشل الأول: إبقاء المحللين في دور النظام السريع، ما يؤدي إلى إنهاكهم وتفويت التهديدات الحقيقية.
- الفشل الثاني: استخدام منصات ذكاء اصطناعي متقدمة مباشرة على البيانات الخام، وهو ما يعيد إنتاج المشكلة بشكل أكثر تكلفة، حيث لا يمكن معالجة ملايين التنبيهات بهذه الطريقة اقتصاديًا أو عمليًا.
البنية المثالية للـ SOC
النجاح في عام 2026 يتطلب تصميم مركز عمليات أمني يعمل بعقلين:
- العقل السريع: يغطي كل التنبيهات بشكل آلي، لا يتوقف ولا يتجاهل التنبيهات منخفضة الأولوية.
- العقل البطيء: يتعامل مع القضايا المعقدة، مدعومًا بتحقيقات مكتملة وسياق غني.
هذا التكامل يخلق دورة تحسين مستمرة، حيث كل حكم يصدره المحلل يغذي النظام الآلي ليصبح أكثر دقة بمرور الوقت. كما أن المؤسسات التي تحتفظ بالتحقيقات داخليًا، بدلًا من الاعتماد على مزودي خدمات خارجية، تضمن امتلاك قاعدة المعرفة التي تجعل الذكاء الاصطناعي المساعد فعالًا بحق.
