До 60% алертов в типичной инфраструктуре так и не доходят до нормальной проверки, а часть реальных атак прячется именно в этом хвосте очереди. На этом фоне AI SOC из модного термина превращается в вполне прагматичный ответ на перегруженный MDR, который уже не успевает за злоумышленниками, вооруженными ИИ.
Как пишет The Hacker News, управляемое обнаружение и реагирование годами закрывало вполне понятную боль: у компаний не хватало людей на круглосуточный SOC, а очередь инцидентов нужно было кому-то разбирать. Модель работала, пока поверхность атаки не разъехалась сразу в несколько сторон: endpoint, облако, идентичности, сеть. Параллельно атакующие начали использовать ИИ для автоматизации разведки, генерации правдоподобного фишинга и быстрой упаковки новых вариантов вредоносов, которые обходят сигнатурную защиту. В результате MDR во многом остался там же, где был: алерты идут людям, люди физически не успевают, а приоритет уходит только самым громким событиям.
Главный упрек к этой схеме не в том, что аналитики работают плохо, а в том, что сама воронка больше не сходится. В статье приводится оценка: около 60% оповещений по индустрии остаются без рассмотрения. Команды, внутренние или внешние, делают ровно то, что и должны делать под давлением объема: разбирают P1 и P2, а P3 и P4 складируются в бэклог. Проблема в том, что злоумышленники давно это понимают. По данным анализа 25 млн алертов в глобальных компаниях за 2025 год, почти 1% реальных угроз начинается с низкоприоритетных или информационных событий. Если у компании около 450 тыс. алертов в год, это может означать примерно 54 настоящих инцидента ежегодно, которые живут в очереди и никого не тревожат. Для ИТ-директора или CISO это неприятная математика: формально покрытие есть, по факту окно для пропущенной компрометации тоже есть, и оно измеряется не минутами, а неделями.
Вторая проблема менее заметна снаружи, но болезненна внутри: качество расследования в MDR плавает от смены к смене. Один и тот же инцидент в 3 часа ночи и в 10 утра может получить разную глубину разбора просто потому, что на линии разный аналитик, другая загрузка и другой контекст. Для сервиса, который продается как 24/7-защита, это плохая новость. Поверх этого накладывается разрыв между расследованием и detection engineering. Аналитик закрыл кейс как false positive, но это знание часто не возвращается в правила. Шумные детекты продолжают шуметь, сломанные правила не чинятся, новое поведение атакующих появляется быстрее, чем под него дописывают покрытие. На бумаге команда уверена, что у нее есть защита по MITRE ATT&CK, а на практике реальное покрытие может быть заметно уже.
Есть и более приземленная претензия, которую хорошо понимают те, кто хотя бы раз менял внешнего подрядчика по ИБ: клиент часто не владеет тем, что наработано на его же данных. Правила детекта, логика триажа, история кейсов, накопленный контекст по инфраструктуре и привычкам пользователей оседают внутри платформы вендора. Пока контракт действует, это выглядит терпимо. Когда компания хочет сменить поставщика или вернуть SOC внутрь, выясняется, что переезжать особенно не с чем. В 2026 году это уже не просто vendor lock-in, а ограничение для собственных ИИ-инструментов. Если бизнес хочет посадить агент на SOC-процессы, ему нужна база знаний: правила, вердикты, поведенческие шаблоны, результаты расследований. Если все это живет у MDR-провайдера, стартовать приходится почти с нуля.
Отдельно авторы статьи проходятся по экономике вопроса. ИИ уже снижает себестоимость самого MDR: провайдеры автоматизируют часть триажа, сокращают нагрузку на людей и улучшают маржу. Но клиент редко получает в ответ либо более низкую цену, либо заметно более широкое покрытие. Иными словами, эффективность ИИ чаще капитализируется на стороне поставщика, а не заказчика. К этому добавляются типовые слабые места сервисной модели: унифицированные playbook'и для компаний с разным рисковым профилем, слабая пригодность результатов ручного расследования для SOAR-автоматизации и не всегда быстрый доступ к человеку, который реально знает среду заказчика, когда начинается не учебная тревога, а настоящий инцидент.
На этом фоне тезис про AI SOC выглядит уже не маркетингом, а сменой операционной модели. Логика простая: не ставить каждое расследование в человеческую очередь, а отдать рутинное исполнение ИИ, оставив людям контроль, спорные случаи и архитектурные решения. В такой схеме важна не только скорость, хотя она тоже: проверка алертов должна измеряться секундами, а не часами. Важнее другое: разбирать нужно не только критические события, а весь поток, включая низкий приоритет, где и прячется часть ранних стадий атаки. Для разработчиков и платформенных команд это означает рост спроса на нормальную телеметрию, структурированные логи, качественные источники событий и внятные интеграции между EDR, IAM, облаком и сетью. Для бизнеса вывод еще проще: если служба безопасности покупает 24/7, ей придется все жестче спрашивать не про SLA на эскалацию, а про полноту охвата, прозрачность вердиктов и переносимость накопленного знания.
Сейчас спор уже не о том, нужен ли внешний SOC как класс. Вопрос в другом: останется ли MDR сервисом, который фильтрует самые срочные алерты, или превратится в платформу, где расследование по умолчанию автоматизировано, прозрачно и переносимо. Если второй сценарий не случится, часть рынка просто перепрыгнет через классический MDR и начнет строить AI SOC поверх собственных данных и процессов.