Splunk AI Assistant 2.0のおかげで、作業のスピードが劇的に向上しました。それは、この製品を信頼しているからです。そうした背景のもとで構築を行っており、製品の能力を理解しています。だからこそ、その潜在力を最大限に引き出すことができ、今後の進化を待ち望んでいるのです。
Asurion社：Splunk AI Assistant 2.0を使って信頼できるエージェントを構築
主な課題
セキュリティ運用を最新化するために、組織独自の環境を理解し、信頼性の高い出力を生成するAIツールを必要としていました。
主な成果
Splunk AI Assistant 2.0を使ってエージェンティックSOCの基盤を構築することで、手作業に費やす時間を大幅に削減し、独自のガードレールを整備してAIへの信頼を向上させました。
フロントエンドで顧客のデジタル製品を守るには、バックエンドに信頼できるAIエージェントが必要です。
スマートフォンからタブレット、食洗機から電動スクーターまで、Asurion社は、身近なデジタル製品の保険、修理、エキスパートサポートサービスを提供しています。大手通信企業、eコマース企業、D2C (Direct to Consumer)企業を顧客として、世界中で数百万の機器を保護しています。
Splunkは15年以上にわたり、Asurion社の24時間365日体制のSOCで中心的な役割を担っています。同社のSIEMアーキテクチャおよびエンジニアリングチームは、データパイプライン全体を管理し、脅威インテリジェンス、フォレンジック、セキュリティ検証のエキスパートサポートを提供しています。そうした取り組みを支援するため、調査やプロアクティブな脅威ハンティングにSplunk Enterprise Securityを活用するとともに、SOAR (セキュリティのオーケストレーションと自動化によるレスポンス)機能を利用して日々のアラート管理を効率化しています。
Asurion社は最近、生産性向上のためにAIを取り入れるという全社的な方針を打ち出しました。それを受けて、同社のSIEMアーキテクチャおよびエンジニアリング担当シニアマネージャーであるBill Ouellette氏とそのチームは、AI導入に向けた大規模な取り組みに着手しました。その成功は最終的に、エージェンティックSOCの基盤を築くとともに、次世代のSplunk AI Assistantにおける主要な設計パートナーとしての同社の地位を確立することになりました。
成果
- 1回のセッションで、140個のEnterprise Security重要イベントを検証
- 1回のフリートレベルのGeoIP取得で、14個の保存済みサーチにフラグを立てる
- Admin Instructions機能を使い、AI出力への信頼を向上
信頼できるAIエージェントを構築するには、コンテキストが鍵となる
Ouellette氏はまず、複雑なタスクをAIが自律的に処理するエージェンティックフレームワークにチームを移行しました。そこで、各タスクに適切なモデルを割り当てる社内AIシステムを開発しました。その際に重視したのが、コンテキストと正確なプロンプトです。「エージェントを真に実用的なものにするには、組織の環境について明確なコンテキストを組み込む必要があります」と同氏は説明します。続けて、最終的な優先事項は信頼だと述べます。「エージェントをエンドユーザーに提供するときは、その出力が、検証済みの正確なデータに基づいているという確証がなければなりません」
問題は、当初のエージェンティックシステムではSplunkに関する深い知識が不足していたことでした。そのため、同社のSplunk環境で処理に失敗することがしばしばありました。
真に信頼できるモデルを構築するには、Splunkの製品コードやエンジニアリングドキュメントなどの独自リソースを活用する必要があるとOuellette氏は考えました。そこで、Splunk AI Assistantチームに協力を求めました。
環境の情報をAIインテリジェンスに変える
Ouellette氏はまず、プラットフォームオーナーとしての経験を活かして、Splunk AI Assistant 2.0の活用方法に関するアイデアを共有しました。「Splunkは長年のパートナーなので、当社の能力を高めながらSplunkプラットフォームの成長に貢献することは自分の使命だと考えました」
新しいAdmin Instructions機能により、今ではすべてのユーザーがSplunk AI Assistantを組織のニーズに合わせて調整できるようになりました。Ouellette氏は説明します。「Admin Instructionsを使用すれば、組織のベストプラクティスやデータを入力して、組織の環境に固有のニュアンスをエージェントに理解させることができます。特に重要なのは、データソース、インデックス、タグ、所有者などのガードレールを簡単に定義して、人間が主導権を保持できる点です」
「SOC内では、人間参加型(HITL：Human-in-the-Loop)モデルを堅持しています。AI機能の利用は急速に拡大していますが、これらのツールはあくまでも、人間の専門知識を置き換えるのではなく、補佐するように設計されています」と、Asurion社のサイバーオペレーションおよびアイデンティティ担当シニアディレクターであるJordan Kramer氏は説明します。「そこで、Splunkが提供するガードレールが不可欠になります。これらは、ワークフローが進化しても、人間による監督が脅威の特定や修復プロセスの基盤であり続けることを保証してくれます」
Ouellette氏がこう続けます。「主要な目標は、AIの出力を正確に保つために役立つコンテキストを提供することでした。Splunk AI Assistant 2.0を使用すれば、AI向けに明確なコンテキストや境界を設定できるため、応答の信頼性を確保できます」
Asurion社ではまた、自然言語によるプロンプト入力を推奨して、Splunk AI Assistant 2.0をより直感的に利用できるようにしています。Ouellette氏は、ツールを初めて評価したときに、それが基本的にSPLアシスタントであり、利用するにはエンドユーザーに専門知識が求められることに気づきました。現在では、SPLの知識に頼らなくても、Splunk AI Assistant 2.0による成果重視の直感的なエクスペリエンスが提供されています。
「バージョン1.0は主に管理者とエンジニア向けでしたが、Splunk AI Assistant 2.0はより便利なチャットボットのように機能します。そのため、私のようなパワーユーザーでなくても、誰でも簡単に情報を取得できます」と、Ouellette氏は言います。「私に分身の術が使えるなら、そうしたいところです。しかし、あらゆる場所で同時に働くことはできません」
クラウド移行を、手作業からマシンスピードへ
Asurion社がSplunk Cloud Platformへの移行を始めたのは、ちょうどOuellette氏が新しいSplunk AI Assistantエージェントモード機能のストレステストを開始した頃でした。そのため同氏は、数百のユースケースと重要イベントをクラウドへ移行するプロジェクトを立ち上げました。この種の作業は通常、サーチを1つずつ手動でエクスポート、検証、デバッグするという煩雑なプロセスになります。
しかし、エージェントモードを利用したところ、140個の重要イベントルールを1回のセッションで検証できたのです。そのことに同氏は本当に驚きました。その効率性は、チームがフリートレベルの互換性の課題に対処するときにも発揮されました。Splunk 10.1でGeoIPがサポートされていないことが判明したとき、エージェントモードによって、影響を受ける14個の保存済みサーチを即座に特定できました。これにより、本来なら重大な運用上の課題だったものが軽微な問題で済みました。
Ouellette氏の試算によると、従来なら50時間かかっていた手間のかかる検証作業が、エージェントモードによってわずか2時間で完了したのです。おかげで、同氏はより高度な戦略立案に専念できました。しかし、エージェントモードが真に価値あるものだと証明されたのは、手動の監査で見落とされていた重大な設定ミスを検出したときです。この成果をきっかけに同氏は、このツールに対する確信を深めました。
プロジェクトのスコープを理解して確実に作業を実行するエージェントモードの能力は、同氏のワークフローを即座に一変させました。システムは完全にエージェンティックになり、プロセスを開始から完了まで自律的に遂行するようになりました。
「Splunk AI Assistant 2.0のおかげで、作業のスピードが劇的に向上しました」と、Ouellette氏は評価します。「それは、この製品を信頼しているからです。そうした背景のもとで構築を行っており、製品の能力を理解しています。だからこそ、その潜在力を最大限に引き出すことができ、今後の進化を待ち望んでいるのです」
「時間は最大の制約です」と、Ouellette氏は認めます。「しかし、もっと時間を節約できれば、その分、SOCへのアラートの送信やお客様の安全を守るための活動に注力できます」
まさにエージェント時代の始まりです。
SOC内では、人間参加型(HITL：Human-in-the-Loop)モデルを堅持しています。AI機能の利用は急速に拡大していますが、これらはあくまでも、人間の専門知識を置き換えるのではなく補佐するように設計されています。そこで、Splunkが提供するガードレールが不可欠になります。これらは、ワークフローが進化しても人間による監督が脅威の特定や修復プロセスの基盤であり続けることを保証してくれます
大きな負担なく、点在するデータをつなぎ合わせる
Asurion社でのエージェンティックなセキュリティ運用実現の取り組みにおいて、Cisco Data Fabric powered by the Splunk Platformの能力の高さが証明されました。それによって同社は、セキュリティデータの統合、コンテキストの収集の強化、自動化された信頼できる運用を構築することができたのです。
Ouellette氏は、SplunkがMCP (Model Context Protocol)を取り入れてAIの使いやすさを高め、顧客がベンダーロックインなしに独自のエージェントを構築できるようにしたことを高く評価しています。Splunk MCPが仲介役として重要な役割を果たすことで、同社の独自のエージェントがSplunk環境外にあるデータセットにアクセスして相関付けができるようになりました。同氏はこう説明します。「MCPサーバーをSplunkで一元管理することで、エージェントがさまざまなソースから情報を収集するための統合ハブを構築できました。より深いインサイトを得られるようになり、組織のAI機能が飛躍的に向上しました」
Asurion社ではさらに、オンプレミス環境とSplunk Cloud環境をつなぐためにSplunk統合サーチを透過モードで使用して、全面的なデータ移行を行うことなく、2つのインフラを横断してシームレスにデータをサーチできるようにしています。同時に、Federated Search for Amazon S3によって、チームのデータ保持要件に対応しています。S3でデータを長期保存しながら、必要に応じてクエリーを実行できる機能を失うことがないこの構成は、同社にとってEnterprise Security運用における大きな転換点となりました。「柔軟性とコスト効果の高い長期のデータアクセス、そして統一されたサーチエクスペリエンスにより、社内ユーザーに対して一貫したサービスレベルを維持しています」と、Ouellette氏は言います。
同社は真の俊敏性を実現するために、シームレスなデータアクセスの提供に加えて、クラウド戦略をスマートなリソース管理と同期させる必要があると考えました。クラウド移行の初期段階では、広範なSKUの管理に追われて、リソースを適切に割り当てることが困難でした。そこで、Splunk Cloud Flexプログラムを導入し、リソース割り当てに関する従来の硬直的な手法を廃止することで、長期契約の管理方法を見直しました。「Splunk Cloud Flexでは、ビジネスの優先順位の変化に合わせてリソースを簡単に調整できます」と、Ouellette氏は評価します。この柔軟性によって、同氏は大きな安心を感じています。「環境の管理について、スピードと効率が向上しました。このプログラムの存在は、Splunkがいかに顧客を重視しているかを証明しています」
すべての人にメリットをもたらすエージェンティックな未来を築く
「Splunk AI Assistant 2.0の設計パートナーという仕組みは、Splunkが顧客とユーザーエクスペリエンスを心から大切にしていることの表れです」と、Ouellette氏は言います。「私たちは、プラットフォームユーザーとして、製品の進化につながる機会をしばしば発見します。Splunkと直接やり取りしてそれらのアイデアを共有し、それを製品に反映してくれるという確信を持ちながら検証を受けられることこそ、成功するパートナーシップの在り方です。こうした協力的なアプローチは、製品を継続的に進化させ、すべてのユーザーに永続的な価値を提供してくれます」
この関係を基盤に、同氏はすでにSplunkと協力して、リアルタイムの要件に基づく動的なモデル切り替えなど、次世代のAI Assistant機能の向上に取り組んでいます。タスクに合わせたモデル選択の経験を活かして、AI Assistantのパフォーマンスを向上させながら、組織全体でトークン使用量を抑えることを目標としています。
このパートナーシップの真価は、最終的に、プラットフォームの進化を通じてすべてのユーザーの成功を後押しするという共通のビジョンにあります。「Splunkとこのような形でパートナーを組む動機は、目先のニーズに対応することだけにとどまりません」と、同氏は続けます。「私たちは常に、これらの機能強化がSplunkの広範なコミュニティにどのようなメリットをもたらし、すべてのユーザーの長期的な成長にどう貢献できるかを考えています」
Ouellette氏にとって、未来の可能性は無限に広がっています。自身のチームでエージェンティックワークフローを先駆的に導入するだけでなく、社内のセキュリティアナリストと協力してエージェンティックSOC戦略を構築しています。たとえば、トレーニングを開催して、Enterprise SecurityのSplunk AI Assistantを使い、プレイブックを自動実行する信頼性の高いエージェントを作成する方法を教えています。同氏はこう締めくくります。「Splunkの内蔵サービスと独自のエージェントを統合することが、当社のAI戦略の要になっています。展開の規模は、当初の想像をはるかに超えるものとなりました」
