A inteligência artificial está avançando em um ritmo incrível, e cada líder de segurança sente a pressão de acompanhar.
Plataformas de IA como Claude, Codex e Cursor já estão ajudando equipes de segurança a criar detecções, investigar alertas, resumir incidentes e automatizar trabalho repetitivo. A conversa deixou de ser sobre "se" a IA pertence ao SOC (Centro de Operações de Segurança) e passou a ser sobre onde cada tipo de IA entrega mais valor.
Com tantos produtos novos de IA entrando no mercado, é fácil supor que uma única ferramenta resolva todos os problemas. Na prática, diferentes tipos de IA foram projetados para trabalhos diferentes.
Entender essa diferença é o que transforma o FOMO (do inglês "Fear of Missing Out", ou medo de ficar de fora) sobre IA em melhores resultados de segurança.
A IA está mudando as operações de segurança
A forma como as equipes de segurança trabalham está mudando rapidamente.
Atacantes já utilizam IA para gerar campanhas de phishing, automatizar o desenvolvimento de malware e se mover com mais rapidez do que nunca. Ao mesmo tempo, defensores usam IA para triar alertas, criar regras de detecção, automatizar relatórios e, de modo geral, reduzir o trabalho manual.
A oportunidade é enorme.
O desafio é decidir onde cada tipo de IA se encaixa no SOC.
Dois tipos de IA, dois trabalhos diferentes
A forma mais simples de pensar nas operações modernas de segurança é em três camadas.
Na base estão as ferramentas de segurança existentes, como SIEM (Gestão de Informações e Eventos de Segurança), EDR (Detecção e Resposta em Endpoints), segurança em nuvem, plataformas de identidade, segurança de e-mail e tudo o mais que gera alertas.
No meio está um SOC autônomo com IA. Seu trabalho é investigar cada alerta automaticamente, correlacionar achados entre ferramentas, aplicar contexto organizacional e, principalmente, determinar quais alertas realmente exigem atenção humana.
No topo estão as plataformas de IA como Claude, Cursor e Codex. É aqui que analistas, engenheiros de detecção e respondedores de incidentes colaboram com a IA para resolver problemas, escrever detecções, criar relatórios, buscar ameaças e tomar decisões.
Essas camadas são complementares e todas necessárias para um SOC bem-sucedido.
Por que plataformas de IA como o Claude não devem investigar todos os alertas
Plataformas de IA são extremamente capazes, mas foram projetadas para ajudar pessoas.
Um analista pode pedir ao Claude que explique uma atividade suspeita em PowerShell, resuma uma investigação, redija uma regra Sigma ou traduza uma detecção para outra linguagem de consulta. Esses são usos excelentes da IA.
Mas investigar milhares de alertas por dia é um desafio diferente.
Esse tipo de trabalho exige um sistema autônomo que funcione de forma contínua, se integre às ferramentas de segurança, memorize o contexto organizacional e investigue alertas 24 horas por dia, sem esperar por um comando humano.
Tentar usar uma plataforma de IA como investigador 24/7 do SOC é como pedir a um consultor brilhante que atenda cada ligação em uma central telefônica movimentada. O consultor é extremamente valioso, mas apenas quando está focado no trabalho que se beneficia de sua expertise.
O problema da tokenomics
Há outro motivo pelo qual plataformas de IA não foram projetadas para investigar cada alerta de segurança: a economia.
Toda investigação começa com contexto. Um modelo de IA precisa de telemetria de endpoints, árvores de processos, logs de autenticação, histórico de e-mails, inteligência de ameaças, investigações anteriores, regras de detecção e conhecimento organizacional antes de tomar uma boa decisão.
Cada pedaço desse contexto consome tokens (unidades de texto processadas pelo modelo de linguagem).
Isso é totalmente razoável quando um analista pede ao Claude ajuda para investigar alguns incidentes por dia.
A equação muda bastante quando um SOC recebe milhares de alertas por dia.
Imagine usar um grande modelo de linguagem para realizar uma investigação nova a cada alerta. Mesmo que cada investigação fosse relativamente pequena, a organização estaria pagando por dezenas de milhares de conversas com IA por dia, a maioria das quais concluiria que o alerta é benigno. Conforme o volume de alertas cresce, o custo cresce junto.
É aí que entra o SOC autônomo com IA.
Em vez de tratar cada alerta como uma conversa totalmente nova com um grande modelo de linguagem, um bom SOC com IA combina fluxos determinísticos, análise forense, memória organizacional, contexto em cache e raciocínio seletivo com IA. Os grandes modelos de linguagem são usados onde agregam valor, e não em todas as etapas de cada investigação.
O resultado é uma arquitetura capaz de investigar continuamente cada alerta, mantendo os custos previsíveis.
Usar o Claude para investigar todos os alertas é como usar um carro de Fórmula 1 para entregar pacotes. É uma engenharia incrível, mas foi projetado para velocidade, não para logística de alto volume. SOCs corporativos precisam de uma infraestrutura construída para lidar com enormes volumes de forma eficiente, com IA aplicada onde tem o maior impacto.
A realidade do MDR
Há outro desafio prático que muitas vezes passa despercebido.
Muitas organizações não operam seu próprio SOC. Elas dependem de um provedor de MDR (Detecção e Resposta Gerenciadas) para monitorar seu ambiente.
Nesses ambientes, normalmente o MDR é dono do fluxo de investigação. Ele tem os analistas, o sistema de gestão de casos, o histórico de investigações e, com frequência, a telemetria enriquecida coletada durante a investigação. O cliente geralmente recebe apenas os incidentes escalados e relatórios periódicos, não cada evidência coletada ao longo do caminho.
Isso dificulta para uma plataforma de IA como o Claude investigar alertas de forma independente, porque ela não tem acesso às mesmas informações que o MDR utiliza.
Mesmo que uma organização quisesse construir seu próprio fluxo de investigação assistido por IA, precisaria primeiro dos alertas brutos, da telemetria, dos artefatos de investigação e do contexto histórico, que muitas vezes ficam dentro da plataforma do MDR.
Plataformas de IA são extremamente valiosas uma vez que as informações estão disponíveis, mas não conseguem raciocinar sobre dados que não possuem.
Esse é mais um motivo pelo qual SOCs autônomos com IA estão se tornando uma camada arquitetural importante. Eles ficam diretamente ao lado das ferramentas de segurança da organização, investigam alertas à medida que chegam, mantêm o contexto organizacional e disponibilizam esse conhecimento tanto para analistas quanto para plataformas de IA.
Em vez de substituir MDRs da noite para o dia, eles oferecem às organizações um caminho para assumir o controle de suas investigações, seu conhecimento institucional e, em última instância, suas operações de segurança.
Investigar 100% dos alertas?
A maioria das equipes de segurança simplesmente não tem capacidade para investigar cada alerta recebido.
Como resultado, priorizam os alertas de maior severidade, enquanto alertas de severidade menor frequentemente recebem menos atenção.
O problema é que a severidade nem sempre reflete o risco.
Uma análise de mais de 25 milhões de alertas de segurança processados durante 2025 constatou que quase 1% dos incidentes confirmados se originou de alertas de baixa severidade ou informativos. A conclusão é direta: ameaças relevantes podem começar em qualquer ponto do fluxo de alertas.
Mas a resposta não é pedir que os analistas trabalhem mais. É dar a eles mais capacidade.
Um SOC autônomo com IA cria essa capacidade ao investigar cada alerta, não apenas os mais ruidosos, e escalar apenas os casos que realmente exigem julgamento humano.
Onde o Claude e companhia brilham
Depois que um SOC autônomo com IA conclui a investigação, as plataformas de IA se tornam ainda mais valiosas.
Em vez de gastar tempo reunindo evidências de vários consoles, os analistas podem usar uma plataforma de IA para se concentrar em trabalho de maior valor.
Eles podem:
- Fazer perguntas sobre investigações concluídas.
- Redigir e refinar regras de detecção.
- Buscar ameaças emergentes.
- Resumir investigações para as partes interessadas.
- Gerar relatórios de incidentes.
- Explorar novas hipóteses.
- Tomar as decisões finais em casos complexos.
Em outras palavras, o SOC autônomo com IA cuida do trabalho pesado de triar alertas intermináveis e investigação repetitiva.
A plataforma de IA ajuda as pessoas a pensar, criar e decidir com base em tudo o que o SOC com IA forneceu.
Melhores juntos
A principal lição não é que as organizações precisam escolher entre um SOC autônomo com IA e plataformas de IA como o Claude.
Elas precisam dos dois.
Um investiga alertas continuamente em todo o ambiente.
O outro ajuda os profissionais de segurança a trabalhar mais rápido e tomar decisões melhores.
Juntos, eles criam um modelo em que as máquinas cuidam da investigação repetitiva, enquanto os humanos se concentram em estratégia, julgamento e melhoria contínua.
Participe de uma conversa real (não mais um webinar entediante) com o cofundador e CEO da Intezer, Itai Tevet, e a CMO Lital Asher-Dotan sobre onde a IA realmente se encaixa nas operações de segurança hoje. Com tantas plataformas de IA disputando atenção, Itai e Lital vão cortar o ruído e ser específicos sobre o que usar onde, com base em exemplos reais.
Três takeaways:
- Por que plataformas de IA como o Claude foram feitas para ajudar pessoas, e não para investigar cada alerta em escala.
- Como a "tokenomics" (custo de processamento por tokens) da investigação com IA muda a conta para SOCs de alto volume.
- Onde um SOC autônomo com IA e plataformas de IA se complementam.
Inscreva-se no webinar e seja o primeiro a receber o CISO Guide for Incorporating AI in the SOC, o guia completo de Itai para incorporar IA no SOC voltado a CISO (Chief Information Security Officer, ou diretor de segurança da informação).
