SOC agêntico: quem está definindo a categoria?

Em poucos meses, um número improvável de empresas publicou a mesma peça de conteúdo: "o que é um SOC agêntico". Microsoft, Google Cloud, CrowdStrike, Torq, Stellar Cyber, Anomali, Conifers — explicador, glossário, listicle, página de solução e até summit dedicado ao termo.

Todas vendem alguma coisa nessa categoria.

Isso não significa que a tecnologia seja fumaça: agentes de IA fazendo triagem são reais, estão em produção e já mudaram a operação de muito time — assunto que já cobri no post sobre agentes de IA no SOC. O que interessa aqui é outra coisa: quando todo mundo que vende define a categoria ao mesmo tempo, você está lendo posicionamento, não convergência técnica.

A tese em uma frase: a corrida para definir "SOC agêntico" é uma disputa por critério de comparação — porque quem escreve a definição escolhe as perguntas do comparativo, e quem escolhe as perguntas costuma ganhar.

O que a simultaneidade revela

Categorias de tecnologia raramente nascem de consenso técnico. Elas nascem quando um grupo de fornecedores precisa de um nome novo para diferenciar produtos que estavam ficando parecidos — e o vencedor da disputa é quem consegue que o mercado adote a definição dele.

O mecanismo é simples e vale reconhecer:

1. Publica-se o explicador — "o que é X" —, que ranqueia e vira referência.
2. Publica-se o glossário, que dá ar de neutralidade.
3. Faz-se um evento com o nome da categoria, que sinaliza consolidação.
4. Localiza-se o conteúdo para os mercados-alvo. A página do Google Cloud sobre o tema já está em português — o que significa que a categoria está sendo empurrada para o Brasil agora, não daqui a dois anos.

Nada disso é desonesto. É como o mercado de tecnologia funciona, e já aconteceu com "next-generation firewall", com XDR e com SASE. O problema começa quando o comprador toma o explicador do fornecedor como descrição neutra da realidade.

SOC agêntico: o que é novo e o que é rebatismo

Vale separar, porque há substância no meio do marketing.

Realmente novo: a diferença entre executar um playbook e decidir o caminho. SOAR automatiza uma sequência escrita antes; um agente avalia o que encontrou e escolhe o próximo passo. Isso muda o comportamento diante do inesperado — o playbook falha, o agente tenta outra coisa. É uma mudança real.

Sobreposição com o que já existia: correlação entre camadas é XDR. Resposta automatizada é SOAR. Operação terceirizada é SOCaaS ou MDR. Boa parte do que é apresentado como categoria nova é a combinação dessas três com agentes na camada de decisão.

O teste prático: peça ao fornecedor para descrever o que o produto faz sem usar a palavra "agêntico". Se a descrição resultante for indistinguível de um XDR com automação, você está comprando XDR com automação — o que pode ser exatamente o que você precisa, por um preço que deveria refletir isso.

Os números, e de onde eles vêm

A Microsoft publicou os dados mais concretos da leva, em abril de 2026. Vale registrá-los com a atribuição explícita:

• Ransomware interrompido em média de três minutos.
• Dezenas de milhares de ataques contidos por mês via protocolos de isolamento.
• Ações autônomas mantidas sob 99,99% de confiança.
• Em testes internos, agentes automatizam 75% das investigações de phishing e malware.
• Avaliação complexa de vulnerabilidade caindo de um dia inteiro de engenharia para menos de uma hora.

E a Elastic, no material de compra de SIEM, traz dois números do lado da dor: 70% das organizações em risco elevado por falta de profissionais de segurança, e 35% dos times apontando fadiga de alertas como principal desafio.

Duas leituras honestas sobre isso.

Primeira: são números autorreportados por quem vende a solução, medidos em ambiente próprio, com metodologia não publicada. "99,99% de confiança" é uma métrica interna do modelo, não uma taxa de acerto verificada por terceiro. Isso não os torna falsos — torna-os indicativos, não comprobatórios.

Segunda: a dor que eles descrevem é real e independente do fornecedor. Volume de alerta acima da capacidade humana é fato observável em qualquer SOC. A pergunta não é se o problema existe, é se a solução oferecida resolve pelo preço pedido.

O estágio que os fornecedores pulam

A Microsoft descreve um caminho de maturidade em três estágios: base de plataforma unificada, aceleração por IA generativa e, então, automação agêntica. O desenho é razoável — e omite a etapa que protege o comprador.

Modo sombra. O agente investiga e conclui, ninguém executa a conclusão, e o time compara os veredictos dele com os próprios por algumas semanas. Só quando a taxa de concordância se sustenta é que classes específicas de alerta são promovidas para decisão autônoma.

É a diferença entre confiar por medição e confiar por apresentação. E é chato o suficiente para não aparecer em página de solução.

O outro item ausente: o agente vira o software mais privilegiado do ambiente — lê todos os logs, acessa credenciais e age. A OWASP tem um Top 10 específico para aplicações agênticas justamente por isso, e o tema está detalhado no post sobre agentes de IA no SOC.

O que levar para a reunião

Seis perguntas. As quatro primeiras valem para qualquer serviço gerenciado; as duas últimas são específicas desta categoria.

1. Contém ou apenas avisa? Peça a lista de ações pré-autorizadas, item por item.
2. Qual o tempo médio até a contenção, não até o alerta?
3. Os analistas são dedicados ou compartilhados num pool grande?
4. O que é add-on pago no que foi apresentado como incluso?
5. Qual a taxa de concordância entre o agente e o analista humano, numa amostra auditada? Se ninguém audita, o número não existe.
6. Quando eu tiver um incidente grave às 3h da manhã, eu falo com uma pessoa?

A sexta é a que mais desconforta e a que mais informa. A própria Gartner registra que gestores de SOC ficam frustrados quando a única opção é falar com um chatbot em vez de um engenheiro de segurança.

Uma nota sobre quem deveria esperar

Nem toda empresa precisa entrar nessa conversa agora.

Se você ainda não tem telemetria centralizada nem alguém lendo alerta fora do horário comercial, o estágio 1 é o seu trabalho — e ele não tem nada de agêntico. Comprar automação sobre base inexistente produz um agente triando alertas de sistemas que ninguém instrumentou.

Se você já tem operação madura e o volume de alerta é o gargalo real, aí a conversa faz sentido — começando por modo sombra, com medição.

O roteiro do que vem antes está no guia de cibersegurança para PMEs e no post sobre SOC as a Service.

O ponto que fica

Categoria nova em segurança é um evento comercial antes de ser um evento técnico. Isso não desqualifica a tecnologia — agentes na triagem resolvem um problema real e chegaram para ficar.

O que a simultaneidade dos lançamentos deveria produzir no comprador é uma postura específica: ler o explicador do fornecedor como material de vendas bem-feito, e levar para a mesa as perguntas que ele não respondeu.

Se for guardar uma frase, guarde o teste: peça a descrição do produto sem a palavra da moda. O que sobrar é o que você está comprando.