Veertig procent van de security-teams gebruikt inmiddels dagelijks AI, 56 procent is er nog mee aan het experimenteren en slechts 4 procent heeft helemaal geen plannen in die richting. Dat blijkt uit het rapport “State of AI in Security Operations 2026” van Prophet Security, dat meer dan 250 CISO’s, SOC-leiders en analisten ondervroeg. Prophet Security bouwt zelf AI-SOC-platformen, dus de cijfers komen van een partij met belang bij het onderwerp, maar het onderzoek legt een reëel probleem bloot: AI rukt sneller op in de SOC dan de meeste teams organisatorisch kunnen bijbenen.
Het rapport laat zien hoe groot de achterstand in reguliere alertopvolging al is. 28 procent van alle alerts wordt nooit onderzocht, en 60 procent van de ondervraagden zegt dat een genegeerde of gemiste melding later tot een serieus incident leidde, zoals een inbraak of uitval. Tot 40 procent van de organisaties heeft zelfs bepaalde detecties uitgeschakeld omdat er simpelweg niet genoeg mensen waren om de meldingen te beoordelen. Een grondig onderzoek van één incident duurt gemiddeld 75 minuten, tijd die veel teams niet hebben voor elke melding die binnenkomt.
Weinig vertrouwen in volledige autonomie
Ondanks de snelle adoptie houden teams AI-agents nadrukkelijk aan de leiband. 57 procent vereist dat een mens elke AI-beslissing controleert voordat een alert wordt gesloten. 44 procent laat AI wel acties voorstellen die mensen uitvoeren, en 30 procent laat AI laag-risico herstelacties zelfstandig afhandelen, maar niemand van de ondervraagden geeft AI volledige, ongecontroleerde autonomie. Databeveiliging en de vraag of eigen data wordt gebruikt om modellen te trainen, is voor 44 procent de grootste drempel. Opvallend is ook dat 72 procent van de teams die AI gebruiken, heeft geprobeerd zelf AI-tooling te bouwen, maar dat 46 procent van die projecten strandde, nooit productierijp werd of alsnog is vervangen door een commercieel product.
Prophet Security plaatst dit in een eigen “SOC Hierarchy of Needs” met vijf lagen die op elkaar bouwen: alertbeheer, detectiedekking, dreigingsbewustzijn, proactief threat hunting en het structureel verbeteren van de beveiligingspositie. AI-agents beginnen volgens het model vrijwel altijd op het onderste niveau, alertbeheer, en de tijd die analisten daardoor overhouden, moet bewust worden doorgesluisd naar de hogere, strategischere lagen. Doet een organisatie dat niet, dan verdwijnt de gewonnen tijd gewoon in de dagelijkse ruis.
Het rapport geeft twee praktische checklists. De eerste, met tien vragen, helpt bepalen of een SOC AI-agents eigenlijk wel nodig heeft, met vragen over trage escalaties bij een MDR-partij, alerts die worden gesloten zonder onderbouwing, onbewaakte dekking buiten kantooruren en detecties die zijn uitgezet wegens tijdgebrek. De tweede checklist, met acht vragen, toetst of een SOC er al klaar voor is: heeft het API-toegang tot de belangrijkste tools, is asset- en gebruikerscontext goed uitleesbaar, bestaan er geschreven onderzoeksstandaarden, zijn goedkeuringsregels voor acties vastgelegd en is er iemand concreet verantwoordelijk voor de vrijgekomen analistentijd. Een “nee” op de eerste vier vragen zou volgens het rapport eerst opgelost moeten worden voordat een productiepilot start.
Voor Nederlandse SOC-teams en IT-afdelingen die AI-agents overwegen voor detectie en respons is de les dat technologie hier niet het grootste probleem is. Begin met het dichten van datatoegang-gaten: test met vijf recente incidenten welke vragen een agent niet zou kunnen beantwoorden door ontbrekende toegang. Leg onderzoeksstandaarden vast voor de meest voorkomende alerttypes, meet eerst de eigen basiscijfers (hoeveel tijd gaat nu op aan onderzoek, hoe snel wordt een alert opgepakt) en laat een agent een paar weken meedraaien naast analisten voordat er iets wordt losgelaten. Geef een agent aanvankelijk alleen leestoegang en breid rechten stap voor stap uit, vraag leveranciers expliciet of klantdata wordt gebruikt om modellen te trainen en waar die data wordt verwerkt, en wijs iemand aan die fouten van de agent beoordeelt en vertaalt naar scherpere instructies. Zelf een AI-agent bouwen is met een mislukkingspercentage van bijna de helft een risicovolle route die vooral geschikt is voor organisaties met structurele capaciteit voor onderhoud.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.