No RSAC 2026, o SANS Institute fez uma declaração definitiva. Pela primeira vez, nos 25 anos de história da conferência, todas as técnicas de ataque perigosas foram incluídas na lista anual de IA.
Em demonstrações ao vivo, os invasores passaram do acesso inicial ao controle total do domínio em menos de um minuto, usando tarefas orientadas por IA.
O ciclo de vida do ataque tornou-se tão comprimido que muitas organizações não conseguem concluir uma resposta antes que o evento já tenha sido determinado.
Esta é a dificuldade que os projetos devem enfrentar: além das capacidades reveladas, os constrangimentos definitivos A segurança cibernética é o padrão de velocidade.
A resiliência cibernética depende agora da agilidade organizacional e das capacidades técnicas de detecção. Devem ser feitos esforços para adaptar, desenvolver e implementar defesas durante os ataques.
Essa necessidade vai muito além do próprio Soc. Ciclos de gerenciamento, aprovações governamentais, análises de segurança, gargalos de implantação e gerenciamento de mudanças operacionais estão agora no nível do controle de segurança da Internet, quer as organizações percebam ou não.
O gerenciamento do ciclo de 12 meses foi ineficaz quando os invasores precisaram de semanas para se movimentar lateralmente pelo ambiente. Agora que os ataques habilitados por IA podem atravessar a nuvem, o SaaS e a infraestrutura de gerenciamento de identidade em instantes, o mesmo ciclo se torna um risco material.
A maioria das organizações ainda compra financiamento para segurança cibernética há 12 meses. Apenas um pequeno número de projectos entra em funcionamento no prazo de seis meses após a aprovação do contrato, enquanto alguns grandes projectos demoram um ano ou mais a implementar novas instalações após a assinatura do contrato.
Atraso gera exposição. A mudança organizacional tem compensado a velocidade do controle de segurança.
Por que a arquitetura SOC legada fratura
Um SOC tradicional é projetado para um modelo de ameaça diferente, definido fundamentalmente por assinaturas, controles baseados em perímetro e operações de pesquisa lideradas por humanos. A análise deveria ser o principal motor do sistema, mas claramente não se sustenta agora. Um problema operacional mais profundo arquitetura
Os modelos operacionais de segurança legados são construídos em torno de um processo de decisão fechado: aprovações em camadas, propriedade compartilhada, pesquisa de rastreamento, agendamento de ciclos trimestrais e tempos de implantação estendidos. Essas estruturas sobreviveram enquanto os defensores e atacantes operavam a uma velocidade quase humana. A IA quebrou esse equilíbrio.
Tecnologias de prevenção baseadas em localização, como CNAPP e CSPM, reduzem a detecção, mas fornecem valor limitado contra a implantação de ameaças ativas na nuvem em tempo real. As plataformas SIEM legadas agregam dados brutos, mas não são projetadas para dar conta de centenas de aplicativos SaaS, vários ambientes de nuvem e redes de identidade humanas e não humanas executadas na velocidade da máquina.
Os fluxos de trabalho de pesquisa permanecem praticamente os mesmos. Três analistas são configurados, cruzam plataformas entre consoles, recriam atividades manuais e escalam descobertas por meio de múltiplas camadas operacionais. Cada transição introduz latência. Em uma cadeia de ataque orientada por IA, a latência se compromete.
Os atacantes não precisam de mais nada hoje. Eles entram pela porta da frente usando abuso de OAuth, integrações de API, relações de confiança Saas-to-Saas, sequestro de sessão e comprometimento de identidade. Eles se conectam em fluxos legítimos enquanto se movem pela nuvem, SaaS, IA e sistemas de identidade com precisão e velocidade.
O volume elevado apenas amplia o problema estrutural. Um importante SOC gerenciado relatou lidar com uma média de dois alertas por minuto até o ano de 2025. Isso simplesmente não é um desafio de pessoal. É a prova de que o modelo operacional não é mais compatível com os redutores de velocidade das máquinas.
Ascensão do agente SOC
O SOC legado exige uma redefinição estrutural em relação aos atores do SOC: o modelo operacional está definido para colocar os adversários em dia; automação e adaptabilidade.
Neste modelo, os sistemas de IA lidam de forma autônoma com um grande volume de trabalho investigativo. Eles relatam evidências contra sistemas díspares, geram hipóteses, validam caminhos de ataque e recomendam ou executam ações de resposta em salvaguardas definidas. Os analistas humanos continuam responsáveis, mas as suas funções incluem supervisão, julgamento empresarial, tratamento de exceções e tomada de decisões estratégicas.
A detecção, a investigação e a resposta são divididas em pipelines operacionais contínuos, em vez de etapas discretas através da propagação de filas e pivôs manuais. Os dados forenses são ingeridos e correlacionados em tempo real, permitindo cronogramas de ataque único sem o atrito de troca de consoles ou ferramentas fragmentadas. Os agentes de IA podem realizar pesquisas contínuas, reduzindo os tempos de resposta de horas para segundos.
Criticamente, o Agent SOC é uma reformulação organizacional centrada na velocidade de execução. As organizações que utilizam SOC construirão modelos operacionais capazes de implantar e adaptar continuamente suas ferramentas. Reduza o atrito entre segurança, compras, governo, engenharia e operações para que as capacidades defensivas possam evoluir contra ameaças.
Distinção das coisas. Muitas empresas já possuem tecnologias capazes, mas continuam limitadas pela velocidade da mudança interna. As equipes de segurança reconhecem as lacunas rapidamente, mas não conseguem implementar soluções com rapidez suficiente para serem relevantes. Na prática, a inércia organizacional torna-se uma vantagem para os adversários.
Expansão SaaS e o problema de visibilidade
As superfícies de ataque continuam a se espalhar agressivamente pelos ecossistemas SaaS. As empresas agora contam com centenas de aplicativos interconectados, que introduzem diferentes modelos de identidade, integrações, estruturas de permissão e possíveis fraudes. Esses ambientes criam as melhores condições para movimentos laterais rápidos e comprometidos.
As ferramentas de gerenciamento de postura frequentemente falham no comprometimento inicial e na ação ao vivo do ataque que se segue. Pontos cegos de identidade, abuso da cadeia OAuth e telemetria reduzida criam situações em que os invasores podem operar quase invisíveis.
Há uma maior necessidade de visibilidade da lacuna Saas. Muitos esforços ainda não conseguem coletar e implementar de forma significativa a telemetria SaaS em seus ambientes. Mesmo quando os logs são ingeridos, eles geralmente são projetados em placas SIEM como dados brutos nos quais os analistas confiam para normalizar, correlacionar e rastrear a velocidade da máquina. O resultado é um enorme volume de telemetria com visibilidade operacional limitada, precisamente quando os atacantes se movem muito rapidamente.
Estendendo os ciclos de implantação para resolver ainda mais o problema. Os recursos de segurança que levam meses para serem avaliados, aprovados e implementados geralmente já foram projetados para acompanhar o cenário de riscos. Na era da IA, a velocidade de execução passa a fazer parte da própria arquitetura defensiva.
Quais tabelas, cios e cisos devem ser feitos
Os conselhos de administração e as equipas de liderança executiva devem recalibrar-se em torno de uma nova realidade: a agilidade organizacional é agora inseparável da resiliência cibernética. O rigor em torno da avaliação de fornecedores, da avaliação da governação, da devida diligência contratual e da implementação de projetos continua a ser necessário. Mas esses ciclos devem ser comprimidos para se alinharem com o risco material representado pelos ataques conduzidos pela IA.
Os líderes partidários devem começar com realismo. Na verdade, meça o tempo médio de resposta (MTTR), não o número teórico documentado nos manuais, mas o número real demonstrado por casos recentes. A seguir, perguntamos se esse cronograma inclui um ataque com capacidade de IA que pode conter infraestrutura de nuvem e SaaS em menos de vinte minutos. Se a resposta for não, a organização está enfrentando um problema estrutural e não uma ferramenta remota.
Igualmente importante é que as próprias organizações devem começar a medir a velocidade da mudança. Quanto tempo leva para identificar uma lacuna de segurança e implementar a capacidade na produção? Quanto tempo leva para obter as aprovações da agência? Quanto tempo durarão as integrações no ambiente de testes? Quantos clientes operacionais existem antes que o controle de segurança se torne ativo? Esses cronogramas devem ser monitorados em relação à velocidade da ameaça, ao MTTR e às métricas em tempo real, juntamente com o MTTR e o tempo.
As organizações devem estabelecer uma avaliação e uma estrutura rápidas para a implementação de tecnologias de segurança, especialmente plataformas nativas da nuvem e de IA, onde o risco de atrasos na implementação pode levar a uma devida diligência acelerada.
Os líderes de segurança também devem ouvir seus ambientes quanto à latência de desempenho. Quantas teclas manuais um analista de pesquisa faz? Por quanto tempo a telemetria bruta fica conectada à linha do tempo do ataque? Cada adversário desgastado vive uma época diferente.
E, fundamentalmente, as organizações devem reconhecer as limitações da segurança baseada na posição. A configuração reduz a detecção, mas não impede que um ataque ativo se mova pelo ambiente. Um SOC que tenha sucesso na era da IA não será aquele com a posição mais limpa do painel. Um será capaz de detectar e conter ameaças reais antes que ocorra um encontro operacional.
Listamos as melhores ferramentas de ITSM.
Este artigo foi produzido como parte do Perspectiva do TechRadarNosso canal reúne as melhores e mais brilhantes mentes da indústria de tecnologia atual.
As opiniões expressas aqui são de responsabilidade do autor e não necessariamente da TechRadarPro ou Future Plc. Se ajudar, você pode encontrar mais informações aqui: https://www.techradar.com/pro/perspectives-how-to-submit
