Как Anthropic построила собственный SOC‑копилот: платформа CLUE на базе Claude Code — VogueTech

Что нового

Anthropic рассказала, как её команда Detection Platform Engineering собрала внутреннюю платформу для кибербезопасности — CLUE (Claude Looks Up Evidence). Это не отдельный коммерческий продукт, а рабочий инструмент внутри Anthropic, но по сути это готовый «AI‑копилот» для SOC, построенный на Claude Code.

Ключевые факты и цифры:

CLUE автоматизирует триаж и расследование инцидентов, используя Claude Sonnet и Claude Opus с доступом к внутренним инструментам и данным.
Команда развернула первый рабочий прототип за один день.
Полный цикл: дизайн, разработка и внедрение — примерно за неделю, параллельно с основной работой команды.
CLUE Triage снизил долю ложных срабатываний с ~33% до 7%.
За 30 дней система автоматически выполнила ~12 000 запросов к данным и ~27 000 вызовов инструментов.
Экономия времени — около 1 870 часов работы аналитиков (примерно 234 человеко‑дня), что даёт 5–10‑кратное ускорение по сравнению с ручным триажем.
Средняя сессия расследования в CLUE — это 25 вызовов инструментов и почти 11 запросов к данным.

CLUE уже работает в продакшене и напрямую влияет на то, какие продукты Anthropic выпускает: Responsible Scaling Policy компании привязывает релизы к уровню защищённости, и именно команда Джеки Боу помогает решить, что можно безопасно запускать.

Как это работает

Общая архитектура

CLUE — это внутренняя платформа обнаружения и реагирования на инциденты. Поверх неё Anthropic построила два основных сценария:

CLUE Triage — автоматический первичный разбор алертов.
CLUE Investigate — интерфейс для расследований на естественном языке.

Под капотом работает Claude (Sonnet/Opus) с возможностью вызывать инструменты (tool use). Эти инструменты ходят в:

логи и системы мониторинга,
хранилища данных (data warehouses),
репозитории кода,
внутреннюю документацию,
Slack и другие коммуникационные каналы.

Вместо того чтобы строить ещё один дашборд, Anthropic сделала слой, который превращает естественный язык аналитика в цепочку запросов к этим системам, а затем собирает результат в связный отчёт.

CLUE Triage: автоматический разбор алертов

Когда в системе появляется новый алерт, CLUE Triage делает несколько шагов:

Обогащение контекстом. Claude через инструменты подтягивает:
- кто пользователь и чем он занимается,
- что за сервис или система фигурируют в событии,
- были ли в Slack сообщения о плановых работах,
- как выглядит «нормальное» поведение по этим метрикам,
- связанный код и конфигурации.
Классификация алерта. CLUE присваивает статус:
- ложное срабатывание,
- истинное срабатывание,
- вредоносная активность,
- ожидаемое поведение.
Оценка уверенности. Система выставляет confidence‑скор, чтобы аналитик видел, на какие алерты смотреть в первую очередь.

Раньше алерты приходили как изолированные сигналы: один неудачный логин, странный API‑запрос, изменение конфигурации. CLUE прикручивает к ним «социальный» и бизнес‑контекст, который обычно живёт в головах сотрудников и в разрозненных внутренних системах.

CLUE Investigate: расследования на естественном языке

Второй слой — интерфейс для аналитиков. Вместо десятка консолей с разными DSL и SQL‑диалектами аналитик пишет запрос на обычном языке:

«Покажи все неудачные логины в этой системе за последние сутки»

CLUE делает следующее:

Планирует расследование. Claude разбивает задачу на шаги: какие логи нужны, какие таблицы запросить, что считать аномалией.
Запускает «агентный цикл». Оркестратор выдаёт команды под‑агентам:
- каждый под‑агент отвечает за свой источник данных или тип анализа;
- запросы выполняются параллельно для ускорения;
- результаты собираются и нормализуются.
Синтезирует вывод. Claude строит итоговый отчёт: что нашло расследование, какие запросы выполнялись, какие выводы можно сделать.

Технический эффект: за одну сессию CLUE в среднем делает 25 вызовов инструментов и почти 11 запросов к данным. Аналитику не нужно помнить синтаксис разных систем и переключаться между интерфейсами — всё собирается в одном диалоге.

Встроенная «организационная память»

Каждое расследование в CLUE сохраняется как транскрипт:

какие запросы запускались,
какие источники данных использовались,
какие выводы сделал Claude,
где аналитик не согласился и что поправил.

Со временем это превращается в базу знаний, к которой сам Claude может обращаться:

находить похожие кейсы,
подбирать стратегии расследования,
понимать, какие пути раньше приводили к полезным находкам.

Anthropic экспериментирует с тем, чтобы запускать несколько стратегий расследования параллельно. Один и тот же алерт может разбираться по‑разному в разные дни, и это считается плюсом: альтернативный путь иногда находит то, что пропустил предыдущий.

Пример: проверка доступа подрядчиков к данным

Команда протестировала CLUE на типовом кейсе data governance:

Задача: проверить, не открывали ли три подрядчика документы, к которым у них не должно быть доступа, за последние два месяца.

До CLUE это:

минимум полдня ручной работы,
выборка логов доступа,
сверка прав и ролей,
проверка классификации документов.

С CLUE:

Claude читает задачу на естественном языке,
строит план расследования,
генерирует подробные запросы к нужным системам,
за минуты выдаёт итоговый отчёт с рекомендациями и полным логом всех запросов.

Что это значит для вас

Кому это реально поможет

Если вы:

руководите SOC или командой безопасности,
отвечаете за внутреннюю безопасность продукта с большой инфраструктурой,
строите собственные AI‑инструменты для SecOps,

то опыт Anthropic даёт понятный референс, как можно использовать Claude (или аналогичный LLM) внутри инфраструктуры:

Снять рутину триажа. Первичный разбор алертов, обогащение контекстом, отсев ложных срабатываний.
Ускорить расследования. Перевести запросы аналитиков в естественный язык, а генерацию SQL/DSL и сбор данных отдать модели.
Расширить охват. Проверять низко‑приоритетные сигналы, до которых раньше «не доходили руки».
Формализовать знания команды. Собрать паттерны расследований в виде транскриптов, которые модель может переиспользовать.

Где это особенно уместно

Крупные SaaS‑ и AI‑компании с разветвлённой инфраструктурой и большим количеством внутренних сервисов.
Организации с жёсткими требованиями к аудиту. CLUE‑подход даёт прозрачный лог того, что именно проверяла модель.
Команды, которые уже живут в Slack/Teams и Confluence/Notion. Модель может использовать эти источники как контекст.

Где подход может не зайти

Маленькие команды без потока алертов. Если у вас несколько инцидентов в месяц, выгода от автоматизации триажа будет минимальной.
Сильно зарегулированные отрасли без готовой политики по AI. Придётся отдельно решать вопросы доступа модели к чувствительным данным и соответствия требованиям регуляторов.
Инфраструктура без нормальных логов и схемы данных. Claude не заменит отсутствие наблюдаемости: если логи хаотичны или их нет, построить CLUE‑подобную систему будет сложно.

Доступность и ограничения для России

CLUE — внутренний проект Anthropic, его нельзя просто взять и включить как готовый SaaS. Для внешних пользователей Anthropic предлагает Claude (включая Claude Code) через веб‑интерфейс и API.

Доступ к Claude из России официально ограничен. Для работы может потребоваться VPN и зарубежный аккаунт/платёжный метод. Использование таких инструментов нужно согласовать с юридической и комплаенс‑командой, особенно если речь идёт о доступе к персональным данным и критичной инфраструктуре.

Место на рынке

CLUE напрямую не конкурирует с коммерческими SIEM/SOAR‑решениями — это внутренняя платформа на базе Claude. Но по функциональности её можно сравнить с трендом «AI‑копилотов для SOC», который сейчас развивают разные игроки.

Что можно сказать по фактам из кейса Anthropic:

Скорость. CLUE даёт 5–10‑кратное ускорение триажа по сравнению с ручной работой. Для расследований — сокращение с часов/дней до минут.
Глубина анализа. В среднем 25 вызовов инструментов и 11 запросов за сессию — больше, чем способен стабильно делать человек без усталости.
Качество сигналов. Снижение доли ложных срабатываний с ~33% до 7% — заметный выигрыш в фокусе команды.

Прямых численных сравнений с продуктами на базе GPT‑4o, Gemini или специализированных вендоров SIEM/SOAR в кейсе нет. Но сам подход Anthropic показывает, что крупный игрок в AI строит защиту не вокруг «магического дашборда», а вокруг LLM с доступом к инструментам и внутреннему контексту.

Если вы уже используете коммерческий SIEM/SOAR, CLUE‑подход можно воспринимать как архитектурный шаблон:

оставить существующий стек как источник сигналов и точку оркестрации,
добавить поверх него слой LLM с tool use,
дать модели доступ к логам, документации, коду и коммуникациям внутри компании.

Куда это всё движется

Anthropic явно смотрит дальше простого «AI‑ассистента для алертов».

Основные направления развития CLUE:

От реактивного к проактивному. Сейчас CLUE реагирует на алерты. Архитектура позволяет запускать постоянный «threat hunting»: агенты Claude сами ищут аномалии, которые не попадают под существующие правила.
Обучение на собственных расследованиях. Транскрипты расследований становятся базой знаний, к которой обращается сам Claude. Это организационная память, которую одному аналитику не удержать.
Принятие недетерминизма. Anthropic экспериментирует с разными стратегиями расследования и не пытается загнать всё в жёсткие плейбуки SOAR‑эпохи. Модели дают цель и набор инструментов, а не фиксированный сценарий.

Философия, которой следует команда Джеки Боу, перекликается с «горьким уроком» в AI‑исследованиях: вместо того чтобы жестко кодировать человеческие шаги расследования, они дают Claude возможности и границы (какие данные и инструменты доступны) и позволяют системе находить свои пути.

Для рынка кибербезопасности это сигнал: следующий виток инструментов будет не про ещё один дашборд, а про тесную связку LLM с инфраструктурой и живым контекстом компании — от логов до Slack.