アラートから答えへ ― Proofpoint Applied Servicesチーム自らが構築したエージェンティックなSOCアナリストが、プライベートプレビューを開始し、OpenAI Daybreakモデルによって強化されました
セキュリティチームが抱えているのは、データの問題ではありません。優先順位付けの問題です。アラートは、どのようなチームであってもレビューしきれない速さで届き、増え続ける製品群にまたがって発生します。そして製品ごとに独自のコンソールがあり、独自の「真実」があります。プルーフポイントの2026年版 AI and Human Risk Landscape Reportによると、世界の組織のおよそ10社中9社がAIアシスタントをパイロット段階から先へ進めており、セキュリティチームが監視すべき新たな領域が増えています。しかもそれは、アナリストの対応能力がまったく追いついていないタイミングで起きているのです。
私たち自身も、この課題に直面しました。Proofpoint Applied Servicesチーム（日々、お客様のインシデントを調査し対応しているアナリストチーム）は、ツールを切り替えたり製品ごとに新しいクエリを書いたりすることなく、生のアラートから明確で根拠のある次の一手へと、当社プラットフォームのあらゆる製品を横断してより速くたどり着く方法を必要としていました。
本日、私たちはProofpoint SOC Analyst Agentを発表します。これは、Proofpoint Applied Servicesチームが自分たちの課題を解決するために構築した、自律的に調査を進めるエージェンティックAIによるSOCアナリストです。現在、増加しつつあるベータ版のお客様を対象にプライベートプレビューを開始しており、一般提供は2026年第3四半期末を目標としています。Daybreak Defense Networkを通じて、私たちはOpenAI Daybreakモデルをエージェントの調査ワークフローに組み込み、プルーフポイントのセキュリティ運用の専門知識およびデータと、OpenAIのサイバー領域における推論能力を組み合わせ、許可された防御的業務に活用しています。
仕組み
セキュリティチームは、自然言語で質問したりタスクを説明したりするだけです ― クエリ言語も、コンソールの行き来も必要ありません。エージェントは調査を計画し、プルーフポイント製品群にまたがる接続されたセキュリティデータ（アラート、ログ、DLPイベント、ユーザーリスクシグナル）からコンテキストを取得し、推奨される次のステップを添えた構造化された調査結果を返します。チームの誰もが、データセキュリティや不審メール報告用メールボックスのメッセージなどを対象に、スケジュールに沿って実行されるカスタムワークフローを作成でき、必要とするアナリストへのルーティングと通知も可能です。
フロンティアモデルではなく、サイバー特化モデルを使う理由
調査における難所は、データを読むことではほとんどありません。難しいのは、誰かが何を成し遂げようとしていたのか、そして次に何をするのかに答えることです。この問いに答えるには、攻撃者側の視点からの推論が求められます。おとり（ルアー）が受け取る人に効くようどのように作られているのか、データがどのようにポリシーに触れずに環境内で準備され外部へ持ち出されるのか、一見なんの変哲もない一連の操作がどのように意図として積み上がっていくのか、といったことです。
汎用モデルは、まさにそうした推論から距離を置くようにチューニングされています。セキュリティ調査では、アナリストが意図を理解し、活動を関連付け、次に何に注目すべきかを判断するために、攻撃者や内部不正者の手口を詳細に検証する必要がしばしば生じます。
OpenAI Daybreakモデルは、このような許可された防御的セキュリティ業務を支援するように設計されています。Proofpoint SOC Analyst Agentにおいて、この推論能力は、調査を「これらのアラートが発報した」という段階から「この活動が示しているのはこういうことであり、次に確認すべきはこれである」という段階へと進める助けとなります。
その能力があるからこそ、以下に述べる境界線が同じくらい重要になります。私たちはモデルに、攻撃がどのように機能するかを推論する余地を与えています。一方で、行動する余地は一切与えていません。
置き換えではなく、推奨
このエージェントは、人間のアナリストをより速くするために作られており、アナリストの代わりに行動するために作られたものではありません。すべての調査結果には推奨される次のステップが添えられますが、エージェントがそのステップを自ら実行することはありません。アカウントの変更、封じ込め、その他の調査結果やレポートの作成を超えるあらゆるアクションは、人間のレビュー担当者に委ねられます。これは、Proofpoint Applied Servicesチームが現在このツールを使用している方法と一致しています。これは意図的な設計上の選択です。エージェンティックなSOCアナリストの価値は、アラートと意思決定の間にある手作業にあります。アナリストは、複数のダッシュボードからデータを集める時間を減らし、判断が求められる業務により多くの時間を割けるようになるのです。人間は常にループの中にとどまります。
日々の業務ではどう見えるのか
1. アナリストにとって、コンソールは変わりません。変わるのはワークフローです。アナリストはクエリを書く代わりに自然言語で質問し、接続されたすべてのプルーフポイント製品を横断して、コンテキストがすでに付与された調査結果を一か所で受け取れます。
2. CISOやチームリーダーにとって、インサイトはリクエスト時だけでなく、スケジュールに沿って届きます。夜間の脅威ハンティングや日次のエスカレーションサマリーといった定期的な調査を自動実行し、その結果を適切なアナリストへルーティングできるため、経営層の可視性が「誰かがレポートを出すのを覚えているかどうか」に左右されることはありません。
3. すべての調査において、推論の過程は追跡可能です。すべての調査結果は元となるソースデータまで監査でき、推奨事項は単に信頼するのではなく、常に検証することができます。
これが組織にとって意味すること
ほとんどのセキュリティチームにとって、難しいのはデータの不足ではありません。そのデータを、意味のあるスピードで、優先順位付けされた根拠のある次の一手に変えることです。Proofpoint SOC Analyst Agentは、まさにそこを支援するために設計されています。製品横断のセキュリティデータへの自然言語によるアクセス、スケジュール化された調査およびレポーティングのワークフロー、そして人間が主導権を握り続ける推奨事項を提供します。
Proofpoint SOC Analyst Agentは、本日より一部のベータ版のお客様を対象にプライベートプレビューでご利用いただけます。一般提供は2026年第3四半期末を目標としています（時期は標準的な製品展開の状況により変わる可能性があります）。実際の動作をご覧になりたい場合は、Proofpoint Applied Servicesチームまでお問い合わせください。
よくあるご質問
Proofpoint SOC Analyst Agentとは何ですか？
これは、Proofpoint Applied Servicesチームが構築した、エージェンティックAIによるSOCアナリストです。セキュリティチームは、プルーフポイントの製品群を横断して、自然言語でアラートやインシデントを調査でき、構造化された調査結果と推奨される次のステップを受け取ることができます。
これはプルーフポイントの製品ですか、それともOpenAIの製品ですか。
プルーフポイントの製品です。OpenAI DaybreakモデルはDaybreak Defense Networkを通じて、エージェントの調査・推論機能の一部を支えています。製品、データ接続、ワークフロー、ポリシーはいずれもプルーフポイントのものです。
汎用モデルではなく、サイバー特化モデルを使うのはなぜですか。
調査では、攻撃者や内部不正者がどのように行動するかについての推論が必要であり、その中には、防御側がインシデントを効果的に調査するために理解しておく必要のある手口や意図が含まれます。OpenAI Daybreakモデルは、許可された防御的セキュリティ業務を支援するように設計されており、プルーフポイントが定義したワークフローと管理の範囲内で、Proofpoint SOC Analyst Agentに追加のサイバー推論能力をもたらします。エージェントに許可されるアクションは、どのモデルが推論を行っているかにかかわらず、プルーフポイントのポリシーによって制約されたままです。
エージェントは、アカウントの無効化やユーザーのブロックのように、自ら行動を起こすのですか。
いいえ。エージェントが行うのは、調査結果、構造化されたサマリー、推奨される次のステップの作成です。それを超えるアクション ― アカウントの変更、封じ込め、その他の修復措置 ― には、人間によるレビューと実行の判断が必要です。
これは、Proofpoint Applied Servicesがすでに提供しているものと何が違うのですか。
同じチームのワークフローを高速化したものです。Proofpoint SOC Analyst Agentは、Proofpoint Applied Servicesのアナリストが自分たちのワークフローにおける手作業の調査業務を減らすために構築したもので、Proofpoint Applied Servicesの支援を引き続き提供することに加えて、現在はお客様に直接ご利用いただけるようになりました。
「スケジュール化された」あるいは「定期的な」調査とは、実際にはどういうことですか。
夜間の脅威ハンティングや日次のCISO向けエスカレーションレポートといった調査を、スケジュールに沿って自動実行するよう設定でき、誰かがリクエストしなくても結果が届くようになります。
これはどのプルーフポイント製品を対象としていますか。
プライベートプレビューおよびベータでは、Proofpoint Email DLP（EメールDLP）、Proofpoint ITM（内部脅威管理対策）、Proofpoint Cloud DLP（クラウド DLP）を含むデータセキュリティを中心としており、その他の製品への対応は次の四半期に予定しています。
現在利用できますか。
Proofpoint SOC Analyst Agentは、本日時点で一部のベータ版のお客様を対象にプライベートプレビュー中であり、一般提供は2026年第3四半期末を目標としています。詳しくは、Proofpoint Applied Servicesチームまでお問い合わせください。
本ブログは英語ブログ「Proofpoint Introduces SOC Analyst Agent, Powered by OpenAI Daybreak Models Through Daybreak Defense Network」の日本語訳です。英語原文との間で内容に齟齬がある場合には、英語原文が優先します。