O problema que o AI SOC tenta resolver
Um SOC de porte médio recebe mais alertas por dia do que o time consegue abrir. A saída histórica foi ajustar regra e subir limiar, o que reduz o volume e, no mesmo movimento, esconde o alerta que importava. O AI SOC ataca esse gargalo pelo outro lado: em vez de gerar menos alertas, processa mais.
Na prática, um modelo lê o alerta, busca o contexto em outras ferramentas, monta a linha do tempo, descarta o que é ruído conhecido e entrega ao analista um caso já montado com a hipótese e as evidências. O trabalho que sobra para a pessoa é o que exige julgamento.
O que ele faz bem hoje
Triagem de primeiro nível é onde o ganho é claro e mensurável. Correlacionar sinal de EDR com log de identidade e com tráfego de rede é tarefa repetitiva, com padrão estável, e é exatamente o tipo de coisa em que o modelo não se cansa às três da manhã.
Enriquecimento também funciona. Buscar reputação de IP, histórico do usuário, criticidade do ativo e exposição conhecida daquele host leva minutos de analista e segundos de agente.
E a redação do caso. Boa parte do tempo de um analista sênior vai em escrever o que aconteceu para outra pessoa entender. Um modelo faz o rascunho.
Onde ainda falha
Alucinação em contexto de segurança tem custo assimétrico. Um resumo que inventa uma conexão que não existiu manda o time investigar o lado errado, e o erro só aparece horas depois.
Falta de contexto de negócio é a limitação mais séria. O modelo sabe que o host srv-app-04 teve tráfego anômalo; ele não sabe que aquele servidor sustenta a emissão de nota fiscal e que parar ele às 14h custa mais que o incidente.
E dependência do que já está instrumentado. Um AI SOC lê o que os sensores mandam. Ativo que ninguém sabe que existe não gera alerta, e nenhum modelo investiga o que não chega até ele.
A pergunta que vem antes
Automatizar a triagem melhora a resposta ao que você já detecta. Não muda o que você não vê. É por isso que a discussão de AI SOC costuma esbarrar na de superfície de ataque: o alerta que nunca existiu escapa da triagem inteira. O problema dele é de inventário.
Um programa de gestão contínua de exposição responde a outra pergunta, anterior: quais ativos meus estão expostos, quais dessas exposições são de fato exploráveis e quais estão sob ataque agora. O AI SOC entra depois, para dar conta do volume que essa visibilidade gera.
Como avaliar um fornecedor
Peça para ver um caso real montado pelo agente, com as evidências, e não a demonstração da interface. Pergunte o que acontece quando o modelo erra: existe trilha de auditoria do raciocínio, dá para reverter a ação, quem responde pela decisão. E pergunte de onde vem o contexto de negócio, porque sem ele a priorização volta a ser técnica.