Agentes de IA no SOC: quando a máquina faz a triagem

A triagem de alertas é o trabalho mais ingrato da segurança. É volumoso, repetitivo, majoritariamente falso positivo — e, mesmo assim, cada item precisa ser olhado, porque o que ninguém olha é exatamente por onde o ataque passa.

É também, por essas mesmas características, o candidato perfeito para automação. E foi o que aconteceu: o mercado inteiro se moveu nessa direção em menos de dois anos. 81% dos times de segurança já passaram de piloto para operação com agentes, e a Swimlane projetou que a IA resolveria ou escalaria mais de 90% dos alertas de nível 1 em 2026.

O que quase ninguém está discutindo com honestidade é o que isso faz com o resto da operação.

A tese em uma frase: o agente não elimina o trabalho de nível 1 — ele o transforma numa fila de veredictos prontos que alguém precisa auditar, e a organização que não perceber essa mudança vai automatizar a triagem e perder, junto, a escada de formação dos próprios analistas.

O que os agentes de IA realmente fazem na triagem

Vale desmontar o marketing. Um agente de triagem não "entende" o ataque. Ele faz, em segundos e sem cansar, o que um analista júnior faria em vinte minutos:

• Enriquece. Junta contexto que estava espalhado — quem é esse usuário, esse host é gerenciado, esse IP já apareceu antes, esse processo é normal nessa máquina.
• Testa hipóteses. Consulta as fontes que um humano consultaria, na ordem em que consultaria, e anexa a evidência de cada passo.
• Conclui. Falso positivo, incidente real, ou "não sei, precisa de humano" — que é a resposta mais valiosa das três e a que os fornecedores menos gostam de exibir.

Quem for avaliar esse tipo de agente com seriedade deveria começar pelo OWASP Agentic Skills Top 10, que cataloga os riscos específicos de aplicações agênticas — voltamos a ele mais adiante.

A diferença de escala é o ponto inteiro. Um time humano tria por amostragem, porque não dá conta do volume; o que não é amostrado nunca é olhado. Um agente olha tudo. Mesmo que ele seja pior do que o melhor analista, ele é infinitamente melhor do que a alternativa real, que é o alerta que ninguém abriu.

A Splunk anunciou seis agentes especializados no RSAC 2026, um deles um Triage Agent que enriquece, prioriza e explica alertas de forma autônoma. Não é mais categoria emergente — é catálogo.

Os números que os fornecedores publicam

Vale registrá-los, e vale registrar de onde vêm. Em abril de 2026, a Microsoft publicou os dados mais concretos da leva: ransomware interrompido em média de três minutos, dezenas de milhares de ataques contidos por mês via isolamento, ações autônomas sob 99,99% de confiança, 75% das investigações de phishing e malware automatizadas em testes internos, e avaliação complexa de vulnerabilidade caindo de um dia de engenharia para menos de uma hora. Do lado da dor, a Elastic reporta que 70% das organizações estão em risco elevado por falta de profissionais e que 35% dos times apontam fadiga de alertas como principal desafio.

Duas leituras honestas. São números autorreportados por quem vende a solução, medidos em ambiente próprio e sem metodologia publicada — "99,99% de confiança" é métrica interna do modelo, não taxa de acerto verificada por terceiro. Mas a dor que eles descrevem é real e independente do fornecedor: volume de alerta acima da capacidade humana é fato observável em qualquer SOC.

Sobre como ler esse tipo de material — e por que oito fornecedores publicaram o mesmo explicador em poucos meses —, escrevi separadamente em SOC agêntico: quem está definindo a categoria?.

Onde a automação erra

Três modos de falha, em ordem de gravidade.

1. O falso negativo silencioso. Falso positivo é barato: alguém perde tempo. Falso negativo é caro e invisível — o alerta foi arquivado como ruído, ninguém viu, e o problema aparece semanas depois. O incentivo do agente é perigoso aqui: se ele é avaliado por redução de fila, arquivar agressivamente é a estratégia vencedora. Meça falso negativo, ou você está medindo produtividade e chamando de segurança.

2. O ambiente que ele não conhece. Aquele script estranho que roda às 2h da manhã é o backup. O acesso do fornecedor na terça é o suporte contratado. O contexto que um analista veterano tem na cabeça não está em log nenhum, e o agente não tem como inferir. É por isso que a pergunta "os analistas são dedicados ou compartilhados?" continua valendo mesmo em serviço automatizado.

3. O ataque desenhado para ele. Se você sabe que a triagem é automatizada, você projeta o ataque para parecer o que o agente arquiva. Isso não é hipótese: é a evolução natural de qualquer defesa previsível, e o motivo pelo qual a diversidade de detecção continua importando.

O risco que quase ninguém mede: o agente como alvo

Aqui está o ponto que mais me incomoda no entusiasmo atual.

Um agente de SOC é, por definição, o software mais privilegiado do ambiente: lê todos os logs, acessa credenciais, consulta identidade e nuvem, e frequentemente tem autoridade para agir — isolar host, desabilitar conta, bloquear IP. Comprometer esse agente é melhor do que comprometer o administrador de domínio, porque ele tem acesso amplo e as ações dele são esperadas.

A OWASP publicou um Top 10 específico para aplicações agênticas justamente por isso. Os riscos que mais importam no contexto de SOC:

• Injeção de prompt. O agente lê conteúdo de fontes que o atacante controla — assunto de e-mail, nome de arquivo, campo de log, resposta de API. Um invasor que consiga inserir instrução nesses campos pode tentar redirecionar o objetivo do agente. É a versão moderna do log poisoning, e agentes têm dificuldade estrutural em distinguir instrução legítima de instrução embutida em dado.
• Uso inseguro de ferramenta e excesso de autonomia. Um agente induzido ao erro usa ferramentas legítimas de forma insegura — e o resultado pode ser exfiltração ou abuso de recurso usando permissões que você mesmo concedeu.
• Envenenamento de memória. Se o agente aprende com o histórico, contaminar esse histórico é uma forma paciente de ensiná-lo a ignorar uma classe de ataque.

As mitigações recomendadas são desconfortavelmente básicas, e é isso que as torna aplicáveis: menor privilégio nas ferramentas, filtragem de entrada e saída, aprovação humana para ação de alto risco e teste adversarial regular. A formulação que resume tudo: trate o LLM como um usuário hostil e coloque as funções agênticas atrás dos mesmos gateways, limites de taxa e fronteiras de identidade que você usaria para tráfego externo.

E o padrão de implantação que funciona: modo sombra primeiro. O agente planeja a ação, mas não executa sem revisão humana, até que a confiança se estabeleça por medição, não por impressão.

A tensão comercial que ninguém coloca no slide

Existe um conflito de interesse estrutural aqui, e ele merece ser dito em voz alta.

A triagem de nível 1 é o maior custo de mão de obra de um provedor de SOC as a Service ou de MDR. Automatizá-la corta a estrutura de custo dele de forma dramática. Se o preço não cair e o escopo não crescer, o ganho inteiro da automação fica com o fornecedor.

A própria Gartner registra as duas pontas dessa tensão: gestores de SOC ficam frustrados quando a única opção é falar com um chatbot em vez de um engenheiro de segurança, e o avanço dos agentes está criando competição interna contra o MDR tradicional. Em outras palavras: o fornecedor que te vende MDR está vendendo também o agente que torna parte do MDR dispensável.

O que fazer com isso, na prática da renegociação:

• Não aceite renovação no mesmo valor sem ampliação de escopo. Peça mais superfície monitorada, retenção maior de log, ou cobertura de exposição — a Gartner projeta que até 2028, 50% dos achados de provedores de MDR incluirão detalhe sobre exposição, contra 20% hoje. Esse é o escopo novo que a automação deveria estar financiando.
• Escreva a garantia humana no contrato. Qual o critério de escalonamento para uma pessoa, e em quanto tempo. "Nosso assistente resolve" não é SLA.
• Exija a auditoria de amostra. Uma fração dos veredictos automáticos revisada por humano, com a taxa de concordância reportada. Sem isso, você não tem como saber se o agente está funcionando ou apenas esvaziando a fila.

Vale reler as perguntas de compra do post sobre MDR, XDR, SIEM ou SOC gerenciado com esse filtro — a pergunta "contém ou avisa?" ganha uma segunda camada: contém quem, o agente ou a pessoa?

O problema de formação que ninguém resolveu

Deixo por último o efeito que mais me preocupa e menos aparece nas discussões.

O nível 1 sempre foi ruim como trabalho e excelente como escola. É triando milhares de alertas medíocres que o analista aprende a reconhecer o que é estranho — a intuição que depois sustenta a caça a ameaças e a resposta a incidente. Essa intuição não vem de curso; vem de repetição.

Se o agente absorve integralmente o nível 1, a pergunta fica sem resposta: de onde vem o analista sênior de 2032? Revisar veredictos prontos é uma atividade cognitivamente diferente de investigar do zero — e alguém que só revisou nunca vai conseguir contestar de verdade, porque não sabe como se chega àquela conclusão.

Não tenho solução fechada, e desconfio de quem tem. As tentativas que fazem sentido: manter uma fração dos alertas fora da automação deliberadamente, como treino; exigir que o júnior refaça a investigação antes de ver o veredicto do agente; e tratar rotação por incidentes reais como parte do plano de carreira, não como sobrecarga.

Quem trabalha com agentes de IA em outras áreas do negócio já viu esse filme — a diferença é que aqui o custo de perder a competência humana aparece só no dia do incidente grave.

O ponto que fica

Agentes de IA no SOC resolvem um problema real e grande: o volume que nenhum time humano dá conta de olhar. Isso é ganho líquido, e negá-lo é nostalgia.

O que exige atenção é o que vem junto. A métrica que importa deixou de ser tamanho da fila e passou a ser falso negativo. O agente virou o software mais privilegiado do ambiente e precisa ser tratado como alvo. O ganho econômico precisa ser negociado, ou fica inteiro com o fornecedor. E a escada de formação, que ninguém está reconstruindo, é o custo que só aparece daqui a alguns anos.

A pergunta de verificação continua simples: quando eu tiver um incidente sério às 3h da manhã, eu falo com uma pessoa?