Kako proceniti spremnost SOC-a za AI agente
Prophet Security je u istraživanju State of AI in Security Operations 2026, sprovedenom među više od 250 CISO-a, lidera SOC-a i praktičara, naveo da 40% bezbednosnih timova koristi AI svakodnevno, a 56% ga testira. Samo 4% ispitanika nema plan za usvajanje. Pre produkcionog uvođenja AI agenata, SOC mora da proceni i operativnu potrebu i tehničku spremnost: dostupnost podataka, poslovni kontekst, pisane procedure i nadzor nad radom agenta.
Početna tačka nije nužno najviši stepen zrelosti SOC-a. Agenti su prvenstveno namenjeni obradi upozorenja, odnosno prvom nivou modela koji Prophet Security naziva SOC Hierarchy of Needs. Taj model obuhvata upravljanje upozorenjima, pokrivenost detekcijama, svest o pretnjama, proaktivni lov na pretnje i unapređenje bezbednosnog položaja.
Gde AI agent donosi najveću vrednost
Najjasniji signal potrebe postoji kada upozorenja kasne, kada MDR ili MSSP vraća slučajeve zbog nedostatka lokalnog konteksta ili kada zatvara slučajeve bez obrazloženja i dokaza. Problem je sličan i kod internih timova: odgovori na pitanje da li je organizacija pogođena novom ranjivošću mogu da traju danima, dok upozorenja nižeg prioriteta čekaju ili se zatvaraju skupno.
U istraživanju je 60% ispitanika navelo da je prethodno zanemareno ili propušteno upozorenje kasnije preraslo u ozbiljan događaj, poput proboja ili prekida rada. Takođe, 28% svih upozorenja nikada se ne istraži. AI agent može da započne istragu po prijemu upozorenja, nezavisno od vremena i alata koji ga je generisao, ali samo ako raspolaže potrebnim podacima.
Četiri uslova za pouzdanu istragu
Prvi uslov je API pristup izvorima koje analitičar koristi: SIEM-u, EDR-u, sistemu identiteta, cloud platformama, e-pošti i ključnim SaaS aplikacijama. Ako agent vidi aktivnost na krajnjoj tački, ali nema uvid u identitet, neće moći da poveže događaj sa nalogom koji ju je pokrenuo.
Drugi uslov je čitljiv poslovni kontekst. Kritičnost resursa, uloge korisnika, liste privilegovanih osoba, poslovne jedinice i poznate legitimne aktivnosti pomažu da se razlikuje napadač od administratora ili zakazane automatizacije. Treći uslov su nadzirani tokovi logova: zakašnjeli ili tihi izvor može stvoriti lažan utisak da je istraga potpuna.
Četvrti uslov je pisani standard kompletne istrage. Tim treba da odredi koje dokaze proverava kod najčešćih tipova upozorenja, kada se slučaj može označiti kao bezopasan i koje metrike će pratiti. Korisne početne vrednosti su udeo istraženih upozorenja, prosečno vreme istrage, vreme do prvog pregleda i stopa ponovnog otvaranja zatvorenih slučajeva. Prophet Security navodi da detaljna istraga u proseku traje 75 minuta, dok upozorenja često čekaju približno sat vremena pre prvog pregleda.
Granice autonomije moraju biti unapred definisane
AI istraga i odgovor na incident nisu isti nivo rizika. U anketi 57% timova zahteva ljudsku proveru svake AI odluke pre zatvaranja upozorenja. Za odgovor, 44% timova koristi AI za preporuke koje ljudi sprovode, 30% dopušta samostalnu sanaciju niskog rizika, dok nijedan ispitanik ne daje potpunu autonomiju bez nadzora.
Pre pilota zato treba zapisati koje akcije zahtevaju odobrenje čoveka, ko i pod kojim uslovima može da proširi ovlašćenja agenta, gde se nalaze njegovi nalazi i ko obrađuje povratne informacije. Razuman početak je pristup samo za čitanje, paralelan rad sa analitičarima i postepeno širenje dozvola po kategorijama akcija.
Praktičan redosled je da se najpre na pet nedavnih incidenata popišu sve upite koje je pokrenuo iskusni analitičar i zatvore nedostaci u pristupu. Zatim treba dokumentovati standarde za najobimnije tipove upozorenja, izmeriti početno stanje i svaku analitičarsku izmenu tretirati kao signal da agentu nedostaju kontekst ili pravilo. Poslovni cilj nije samo brža obrada reda upozorenja, već plansko preusmeravanje oslobođenog vremena na detekcije, lov na pretnje i trajno smanjenje operativnog rizika.