A ordem que funciona: Atlassian coloca 44 bilhões de eventos diários em um schema antes dos agentes de IA

O time de segurança da Atlassian processa cerca de 44 bilhões de eventos por dia. Antes de poder pensar seriamente em agentes de IA para caça a ameaças, ele tinha um problema mais básico: duas décadas de crescimento e aquisições deixaram a empresa com logs em muitos formatos, cada um descrevendo um usuário, um host ou uma conexão à sua maneira. Um agente solicitado a correlacionar um login com uma consulta DNS primeiro teria que descobrir que os dois registros estavam falando sobre a mesma pessoa.

A resposta da empresa, descrita em um post do Databricks em 15 de outubro, escrito em conjunto com engenheiros da Atlassian, foi normalizar tudo para o Open Cybersecurity Schema Framework (OCSF) em um lakehouse de segurança no Databricks. Os resultados que ela relata são sobre custo e velocidade, não IA: uma redução de 80% no custo de ingestão, mais de 500 sinais de detecção de ameaças em produção em um único schema, um aumento de 60% na produtividade dos analistas e consultas até 95% mais rápidas, de cerca de 45 segundos para 2 ou 3. Esses números são da Atlassian, de seu próprio conjunto de dados e ponto de partida.

O que está construído e o que está planejado em cima disso

Planejado

• Habilidades de agente reutilizáveis a partir do trabalho dos analistas
• Caças a ameaças orquestradas por agentes
• SQL contextual
• Grafos de contexto

Roadmap

Ativo: detecção e triagem

• 500+ sinais de detecção
• Alertas agrupados em campos padrão

Ativo: um schema

• OCSF para toda a telemetria
• Schema aplicado em código Go tipado
• Mapeamento agêntico de novos logs, com gate

Fontes

• Autenticação, rede, DNS, scanners
• Formatos de décadas de aquisições

Por que o schema vem primeiro

O valor de um schema comum não é elegância. É que um campo significa uma coisa em todos os lugares. No design da Atlassian, um nome de usuário vive no mesmo campo padronizado quer o evento venha de um sistema de autenticação ou de um sensor de rede, então agrupamento, enriquecimento e correlação podem usar um único valor como chave.

Isso é exatamente o que um agente de segurança precisa e normalmente não tem. O time de segurança da Block mostrou esta semana por que as melhores investigações de IA dependem de juntar evidências entre os logs de produtos. Um agente só consegue fazer essa junção de forma confiável se os identificadores concordarem. Sem normalização, o modelo gasta tokens e julgamento reconciliando formatos, e seus erros parecem insights.

Onde a IA já ajuda

A parte agêntica que está ativa é modesta e instrutiva. A Atlassian usa um workflow agêntico para mapear novas fontes de log para o schema: os analistas selecionam logs e, após uma confirmação com gate, o workflow gera mapeamentos e código de pipeline, testa e faz o deploy em estágios canário e de produção. Os autores dizem que o schema rígido reduziu alucinações e o uso de tokens.

Note a direção. A IA é usada primeiro para construir e manter a fundação de dados, sob um gate, com testes e deploy em estágios. É o tipo de trabalho que descrevemos quando dissemos que o primeiro entregável duradouro de um agente costuma ser dados mais limpos. Escolhas de engenharia também importam: o time optou por transformar dados em trânsito e embute o schema em structs Go, então saídas inválidas falham em tempo de compilação em vez de às 3 da manhã.

O que ainda é roadmap

As capacidades de agente que as pessoas vão querer ler estão listadas como próximos passos: transformar o uso de campos pelos analistas em habilidades de agente reutilizáveis, orquestração de agentes para caça a ameaças, SQL contextual para perguntas como rastrear tráfego de comando e controle de DNS, e grafos de contexto sobre OCSF. Nada disso significa que agentes investigam 44 bilhões de eventos hoje. E a adoção do OCSF por si só não garante detecção precisa ou resolução de entidade; o post descreve campos consistentes, não um método de resolução.

A lição para programas de IA de segurança

Se seu time de segurança está avaliando agentes de IA para o SOC, pergunte o que eles vão ler antes de perguntar o que eles vão fazer:

1. Quantos schemas descrevem um usuário, um dispositivo e uma conexão na sua telemetria hoje? Cada um é uma reconciliação que o agente vai tentar, e às vezes errar.

2. Você consegue consultar um ano de histórico em segundos? Agentes investigam consultando. Consultas lentas se tornam investigações lentas e caras.

3. O mapeamento de novas fontes é governado? Cada nova fonte de log é uma chance de quebrar o schema do qual os agentes dependem.

A sequência da Atlassian, schema primeiro, detecções em segundo, agentes em terceiro, não é o caminho mais rápido para uma demo de IA. É aquela em que os agentes, quando chegarem, têm algo consistente para raciocinar.