Indbygning af AI i cybersikkerhedsplatformen

Denne case beskriver anden fase af vores arbejde med en USA-baseret platform til begrænsning af cyberrisici (NDA), som vi har samarbejdet med siden juli 2020. Den første fase tog produktet fra prototype til en Fortune 500 SaaS (du kan læse om det her). Denne fase handler om det næste skridt: at bygge en indlejret AI i det kørende produkt.

Udfordringen

I 2025 var platformen et modent analyseprodukt med et stærkt værditilbud og en Fortune 500-kundebase. Tre problemer dukkede op, efterhånden som produktet modnedes:

• Kompleksitet på overfladen. Platformen håndterede omfattende data om cyberrisiko, men fortolkning krævede ekspertviden på højt niveau. Dette mønster er almindeligt i regulerede, data-tunge kategorier: regnskab, bank, finans, compliance.
   
• Lav brugsfrekvens. De fleste brugere åbnede værktøjet én gang i kvartalet for at udarbejde periodiske rapporter. Produktet var ikke en del af deres daglige arbejdsgang.
   
• Tung onboarding. Nye kunder havde brug for cirka 45 minutters guidet opsætning og aktiv involvering fra kundesupport, før de kunne bruge produktet selv.

Da agentbaserede, ChatGPT-lignende interaktioner blev en markedsforventning, kom kunden til os med en klar retning: bringe den interaktionsmodel ind i deres cyberrisikoplatform. Det svære var, at panelet skulle fungere for tre meget forskellige brugere på samme tid.
 

Et bestyrelsesmedlem har brug for et screenshot, der forklarer sig selv, klar til at indsætte i en kvartalsrapport. En CFO har brug for en fortælling bag tallene. En CISO har brug for samtalemæssig dybde til at undersøge dataene og handle på dem. Den samme grænseflade skulle betjene alle tre. At bygge dette var mere end bare at lægge en ChatGPT-klon oven på platformen. Det betød én grænseflade, tre personas og en LLM vævet ind i den måde, de alle arbejdede på.

Vores tilgang: Produktdesign

Det centrale produktspørgsmål var, hvordan man introducerer en LLM i en klassisk dashboardgrænseflade uden at tvinge brugerne til at vælge mellem to arbejdsmåder. Vi ville ikke bygge endnu en ChatGPT-klon eller en co-pilot ved siden af platformen, fordi begge tilgange ville efterlade brugerne med to parallelle grænseflader. Vi valgte en hybrid. Brugeren bevarer den velkendte klik-og-videre-oplevelse for det, de allerede ved, hvordan man gør, og får spørge-og-videre for alt andet. Hybridmodellen beskytter indlæringskurven. Brugerne introduceres gradvist til LLM-samarbejde, med sikkerhedsrækværk ved hvert trin, indtil de kan løbe selv.

I hjertet af løsningen er en model med fire lag: en stige, der lader brugerne dykke ned i data i deres eget tempo, med Aria på hvert niveau. Hvert lag besvarer et forskelligt spørgsmål. Jo dybere laget er, desto langsommere og mere fleksibel er interaktionen. Jo højere laget er, desto hurtigere og mere deterministisk. Vi byggede panelet om efter ét princip: enkelhed først, kompleksitet efter behov.

Lag 0 — Ledelse: Hvad sker der?

Den første visning efter login, designet til bestyrelsesmedlemmer, ledelse og alle, der har brug for overblik på få sekunder. Øverst i panelet vises de vigtigste statusindikatorer for cybersikkerhed. Dette er den klassiske dashboardvisning, tilgængelig med det samme, uden AI involveret. Blå knapper under hvert måletal fører til forudrenderet indhold: svar vises øjeblikkeligt fra eksisterende data, ingen modelkald, ingen ventetid. Det er screenshot-først-niveauet, det der forklarer sig selv.

Lag 1 — Finans: Hvorfor sker det?

Undersøgelseslaget, hvor brugere som CFO'er og finansledere graver ned i fortællingen bag tallet. Hvert måletal kan udforskes yderligere via blå knapper (beskrevet ovenfor) eller lilla knapper, der åbner den indlejrede AI-chat med Aria. Kontekstuelle prompt-piller ligger ved siden af det åbne spørgefelt. Pillerne ligner korte lilla knapper, men hver rummer en kompleks prompt, der foreslår, hvad man kan spørge om, baseret på det, brugeren kigger på lige nu. Lilla piller er indgangen til at gå dybere.

Lag 2 — Eksekvering: Gør det for mig

Handlingslaget, oftest brugt af CISO'er og sikkerhedsoperatører, som allerede forstår problemet og har brug for, at Aria handler på det. Knapperne holder op med at være passive ("View") og bliver til kommandoer ("Create", "Identify", "Prepare"). Produktet går fra at vise risiko til at løse den.

Lag 3 — Åben forespørgsel: Alt, hvad du har i tankerne

Et frit promptfelt, altid tilgængeligt, der kører parallelt med stigen med fire lag. Brugere, der ved præcis, hvad de vil, behøver ikke gå gennem hvert lag for at nå dertil. De åbner promptfeltet og spørger.
Stigen er bevidst ikke lineær. I praksis løkker Lag 1 tilbage på sig selv mange gange (udforsk → udforsk dybere → udforsk igen → og først derefter handle), fordi hver bruger har deres eget beslutningstempo og deres egen undersøgelsesdybde, før de stoler på tallet.

Hvad forskellige brugere får ud af den samme grænseflade 

For en CISO er dette et værktøj til at bore ned i et tal med den dybde, de har brug for, i det tempo, de vælger. For bestyrelsesmedlemmer er det et screenshot, der forklarer sig selv. For en CFO er det en sammenhængende fortælling uden at blotlægge metodikkens sømme. Og hele vejen igennem skulle brugerne ikke lære et nyt produkt for at få AI-kapacitet. AI'en mødte dem dér, hvor de allerede arbejdede.

Vores tilgang: Arkitektur

Vi byggede runtime'en om omkring tre arkitekturvalg, der er vigtige for virksomhedsinstallationer: hvordan agenten ræsonnerer, hvordan den forbliver inden for kundens grænser, og hvordan den forbinder til kundens live sikkerhedsstak.
 

Orkestrering og ræsonnering

Aria kører på LangGraph, et stateful agent-orkestreringsframework, der understøtter multi-agent-komposition, persistent multi-turn-hukommelse og live streaming af værktøjseksekvering. Ræsonneringslaget bruger Anthropic's Claude-modeller. Modelvalget er konfigurerbart, ikke arkitektonisk, så platformen kan skifte udbydere uden omskrivninger.
 

Tenant-isolering

Arias agenter arbejder på tværs af dusinvis af specialiserede værktøjer: risikoudsættelse, frameworks, governance, scoring, planlægning, dokument I/O og alt, hvad kunden eksponerer via deres egne connectorer. Hvert værktøj bindes til den godkendte bruger, organisation og profil i det øjeblik, det oprettes. Modellen kan ikke videregive, ændre eller se den identitet.
 

Det er særligt vigtigt for agentiske systemer. Cross-tenant-adgang i Aria er ikke et downstream-filter, der kan omgås af prompt injection, jailbreak-forsøg eller ondsindede instruktioner indlejret i uploadede dokumenter. Agenten kan simpelthen ikke kalde værktøjer uden for sin tenant-grænse. I organisation-dækkende chats pseudonymiseres forretningsenheders navne også, før nogen besked når modellen, og de-anonymiseres i svarstrømmen, så modellen aldrig ser rigtige kundeidentifikatorer.

Live-integrationer via MCP

Aria forespørger i kundens live sikkerhedsstak, ikke kun platformdata. CrowdStrike Falcon i dag, ethvert MCP-kompatibelt værktøj i morgen. Registrering er pr. profil, med OAuth 2.1 til at håndtere autentificering. Dette flytter Aria fra et selvstændigt analyseprodukt til et orkestreringslag for kundens samlede sikkerhedsdrift.
Vi udvider også Aria til at eksponere sine egne værktøjer som en MCP-server, så Claude Desktop, Cursor eller kundens interne værktøjer kan trække Aria-data derfra, hvor brugeren allerede arbejder. Aria læser fra alle værktøjer, kunden forbinder, og eksponerer sine egne data til MCP-klienter på kundens side.

Admin-definerede agenter

Kundens administrator opretter nye specialister direkte fra applikationens UI: navn, prompt, værktøjer. Nye agenter går live for hele organisationen på få minutter. Dette kører side om side med de prompts, vi administrerer, som en hurtig vej til her-og-nu-behov, så kunden lærer platformen nye roller i stedet for at vente på en release.

Løsningen

Aria er en indlejret AI, der er native til platformen. Den lever inde i kundens grænseflade, brand og autentificeringsgrænse, med den analytiske dybde fra den oprindelige platform bag sig og en samtalebaseret front-end ovenpå. Brugerne skifter ikke til et separat værktøj for at bruge den.

For brugerne, oplevelsen ændrede sig. Produktet svarer nu på deres spørgsmål og handler på dem i samme panel. Analyseværktøjet, som tidligere krævede ekspertfortolkning, blev til et self-service-produkt, hvor brugerne spørger, udforsker og handler ét sted. Risiko vises ikke længere kun. Den adresseres i den samme arbejdsgang.

For kunden ophørte produktudviklingen med at være låst af release-cyklusser. Admin-teamet kan sende nye agenter, nye prompts og nye connectors til live sikkerhedsværktøjer på få minutter, konfigureret direkte fra applikationens UI. Kunden kan udvide platformen selv, når nye behov opstår, uden at vente på en sprint eller en deployment.

Det, der ændrede sig strukturelt, er, at platformen nu fungerer som et orkestreringslag for kundens sikkerhedsstak, ikke blot et analyseprodukt. Den samme grænseflade leverer bestyrelsesrapporter, CFO-fortællinger og CISO-undersøgelser. Den samme arkitektur lader kundens admin-team udvide Arias kapaciteter og forbinde nye sikkerhedsværktøjer uden involvering fra engineering.