Yeni bir araştırma, güvenlik operasyonlarında yapay zekâ kullanımının hızla yaygınlaştığını ortaya koyuyor: Katılımcıların yüzde 40’ı AI’ı her gün kullanıyor, yüzde 56’sı ise hâlâ deneme aşamasında. Hiç kullanmayacağını söyleyenlerin oranı yalnızca yüzde 4. 250’den fazla siber güvenlik profesyonelinin yanıtlarına dayanan çalışma, SOC ekiplerinin alarm yükü, inceleme süreleri ve yapay zekâya yaklaşımını aynı anda ortaya koyuyor.
Raporun en çarpıcı bulgusu, güvenlik ekiplerinin artık çok sayıda uyarı arasında boğulması. Ortalama bir ekip günde yaklaşık 100 alarm alırken, büyük kurumlarda bu sayı 1.000’e yaklaşıyor. Ekiplerin dörtte birinden fazlası günlük 500’ün üzerinde alarmla uğraşıyor. Buna karşın kadrolar aynı hızda büyümüyor; bazı dev organizasyonlarda 100’den fazla analist bulunurken, pek çok ekip on kişiden daha az personelle çalışıyor. Bir alarmın ayrıntılı biçimde incelenmesi ortalama 75 dakika sürüyor, bazı alarmlar ise yaklaşık bir saat boyunca hiç açılmadan bekliyor.
Bu tablo, saldırganların ağ içinde hızlı hareket etmesiyle daha da kritik hale geliyor. Araştırmada, bir saldırganın ilk sıçramadan sonra ağ içinde yayılmasının 29 dakika sürebildiği hatırlatılıyor. Buna karşılık alarmdan yanıta uzanan döngü iki saati bulduğunda sorun verimlilikten çıkıp müdahale meselesine dönüşüyor. Analistlerin üzerinde yüksek hacim, yavaş alarm önceliklendirme ve sürekli gürültü baskısı oluştuğu belirtiliyor.
İncelenmeyen alarmlar ve büyüyen saldırı hacmi
Çalışmaya göre alarmların yaklaşık yüzde 28’i hiç incelenmiyor. Katılımcıların yüzde 60’ı, gözden kaçırdıkları ya da pas geçtikleri bir alarmın daha sonra veri sızıntısı veya sistem kesintisi gibi ciddi bir olaya dönüştüğünü kabul ediyor. Bu durumu bildirenlerin üçte birinde aynı şey geçen yıl üç kez ya da daha fazla yaşandı.
Rapor, sorunun görünen rakamlardan da ağır olabileceğini vurguluyor. Kurumların yüzde 40’ına kadarı, kontrol edecek personel bulamadığı için bazı güvenlik alarmlarını tamamen kapatmış durumda. Kuralları, hiç yükseliş üretmeyen bir sinyali azaltmak için ayarlamak ile hiç kimsenin okuyamayacağı bir uyarıyı kapatmak arasında önemli fark olduğu ifade ediliyor. İkinci durumda kapsam daralıyor; hem gerçek alarm yükü hem de gerçek maruziyet, raporda görünenden daha büyük kalıyor.
Aynı çalışma, saldırganların da yapay zekâyı daha fazla kullandığını ortaya koyuyor. Güvenlik profesyonellerinin yüzde 56’sı, son bir yılda AI destekli saldırılarda artış gördüğünü söylüyor. En belirgin artışın finans ve sağlık sektörlerinde yaşandığı aktarılıyor. En yaygın tehditler arasında yapay zekâ ile yazılmış oltalama e-postaları, deepfake ses ve video dolandırıcılıkları, büyük ölçekli credential stuffing saldırıları ve AI ile üretilen zararlı yazılımlar yer alıyor.
Bu baskı altında güvenlik ekiplerinin öncelikleri de değişmiş durumda. İlk kez hem yapay zekâ sistemlerini güvence altına almak hem de savunmada AI kullanmak, klasik bulut ve veri güvenliği gündemlerinin önüne geçmiş görünüyor. Ekiplerin gerekçe olarak en sık sıraladığı başlıklar; daha hızlı yanıt, daha geniş tespit kapsamı, aynı personelle daha fazla iş çıkarma ve analist tükenmişliğini azaltma isteği.
AI, SOC içinde yardımcı rolüyle öne çıkıyor
Yanıtlayan ekipler arasında yapay zekânın gerçekten işe yaradığı görüşü güçlü. AI kullananların yaklaşık dörtte üçü, inceleme süresinin en az yüzde 25 kısaldığını söylüyor. Bu, her alarmda ortalama 25 dakika geri kazanmak anlamına geliyor. Kurumlar ayrıca 7/24 kapsama, daha az yanlış pozitif ve analistlerin daha üst düzey işlere zaman ayırabilmesi gibi kazanımlar bildirdi.
Buna rağmen tam otonomiye geçilmiş değil. Güvenlik ekiplerinin çoğu AI’ın vardığı sonucu insan uzman görüşüyle büyük ölçüde uyumlu bulsa da, katılımcıların yüzde 57’si bir alarm kapatılmadan önce her yapay zekâ kararının insan tarafından doğrulanmasını şart koşuyor. Ekiplerin yüzde 44’ü AI’ı insanın uygulayacağı aksiyonları önermek için kullanıyor. Yüzde 30’luk bir kesim ise düşük riskli otomatik iyileştirme adımlarını AI’a bıraktığını söylüyor. Ankete katılanlardan hiçbiri AI’a tam, denetimsiz yetki vermediğini belirtiyor.
Kurum içi AI geliştirme denemeleri de beklenildiği kadar sorunsuz ilerlememiş. AI kullananların yüzde 72’si kendi iç araçlarını inşa etmeye çalışmış. Ancak bu yaklaşımın hız avantajı sağlamadığı görülüyor; kendi çözümünü geliştirmeyi deneyen ekiplerde, inceleme süresini yüzde 25 ya da daha fazla azaltanların oranı genel AI kullanıcılarıyla neredeyse aynı seviyede kaldı. Yani oranlar 73’e karşı 72. Kalıcılık tarafında ise tablo daha zayıf: DIY projelerin neredeyse yarısı, yani yüzde 46’sı ya terk edildi ya da üretime hiç alınmadı ya da sonradan ticari bir ürünle değiştirildi.
Zaman kazandıran sistemlerin boşluğu nasıl doldurduğuna dair cevaplardan biri threat hunting oldu. Ekiplerin yaklaşık yarısı düzenli tehdit avı yaptığını söylüyor. Bu çalışmaların somut karşılığı da var; katılımcıların yüzde 38’i, otomatik araçlarının kaçırdığı kötü amaçlı faaliyeti bu sayede bulduğunu belirtiyor. Haftada bir ya da daha sık hunting yapan ekiplerde başarı oranı yüzde 49’a çıkarken, hiç yapmayanlarda bu oran yüzde 8’de kalıyor.
Rapor, iş gücü tarafında ise kitlesel bir küçülme beklentisi olmadığını gösteriyor. Katılımcıların yüzde 57’si ekip büyüklüğünün aynı kalacağını, yüzde 9’u ise büyüme beklediğini söylüyor. Şirketler analistleri işten çıkarmak yerine rol kaydırıyor. AI temel önceliklendirme işini üstlenirken, insan analistler incident response, threat hunting ve savunma testleri gibi daha ileri görevlere geçiyor.
Yapay zekâ önündeki en büyük bariyer ise gizlilik ve açıklanabilirlik. Ekiplerin en çok dile getirdiği engel, yüzde 44 ile veri gizliliği ve modellerin nasıl eğitildiğine dair kaygılar. Bir başka yüzde 41’lik kesim ise AI’ın neden o sonuca vardığını anlamanın güçlüğünü sorun olarak görüyor. Rapora göre bu iki başlık, tedarikçi seçimi yapılırken ayrıntılı değerlendirmeyle ele alınabilecek konular olarak öne çıkıyor.
Çalışmanın vardığı genel çerçeve net: Güvenlik operasyonlarında yapay zekâya geçiş neredeyse kaçınılmaz hale gelmiş durumda, çünkü saldırganlar da aynı teknolojiyi kullanıyor. En iyi sonuçları alan ekiplerin, AI’ı tüm alarmları incelemek için kullandığı, ürettiği sonucu sistematik biçimde doğruladığı, güven kazandıkça yetki alanını yavaş yavaş genişlettiği ve kazandığı zamanı aktif tehdit avına ayırdığı aktarılıyor.
Aynı raporda bir platform örneği olarak Prophet Security’nin yaklaşımına da yer veriliyor. Rising in Cyber 2026 kapsamında, 150’den fazla CISO ve güvenlik liderinin oylarıyla öne çıkan bu agentic AI SOC platformunun, güvenlik ekiplerinin yetişemediği alarm ile inceleme arasındaki boşluğu kapatmayı hedeflediği belirtiliyor. Sistemin her alarmı, önem derecesi ne olursa olsun kıdemli analist derinliğiyle soruşturduğu; görünür alarm üretmeyen tehditleri avladığı ve bulduklarını ekibin zaten kullandığı yığın üzerinde yeni ya da ayarlanmış tespitlere dönüştürdüğü ifade ediliyor.
Platformun çalışma biçimi de teknik ayrıntılarla anlatılıyor. Prophet AI, sabit bir playbook’u birebir izlemek yerine her incelemeyi ilerledikçe planlıyor. Hangi soruyu soracağına karar veriyor, SIEM, EDR, kimlik, bulut ve e-posta araçlarını doğrudan sorguluyor, bulgulara göre yön değiştiriyor ve kanıta dayalı bir sonuca ulaşıyor. Emin olunmadığında “inconclusive” yanıtı döndürebiliyor. Atılan her soru, çalıştırılan her sorgu ve alınan her kanıt kayda geçtiği için bir analist isterse aynı sorguyu kopyalayıp kendisi de çalıştırabiliyor.
Şirket, bunun açıklanabilirlik ve gizlilik tarafındaki iki ana soruna da yanıt verdiğini savunuyor. Her inceleme, bir puan ya da siyah kutu karar yerine tam bir denetim izi olarak saklanıyor. Müşteri verisinin modelleri eğitmek için kullanılmadığı, dağıtımların tek kiracılı olduğu ve veri katmanının müşterinin kendi VPC’si içinde çalışabildiği de vurgulanıyor.
Yetkilendirme tarafında ise otomasyon, eylem kategorisine göre kademeli veriliyor. Müdahale adımları müşteri tarafından kapsamlandırılıyor ve izinlendiriliyor; insan onayı varsayılan olarak kalıyor, alan yalnızca güven kazandıkça genişliyor. Raporda bu yaklaşımın, ekiplerin gerçekte izlediği temkinli ilerlemeyle uyumlu olduğu belirtiliyor.
Boşa çıkan kapasitenin nasıl kullanıldığına ilişkin örnekler de veriliyor. Prophet AI Threat Hunter, canlı kurum profili ve kapsama boşluklarına karşı uzmanlarca hazırlanmış ve planlanmış avlar yürütüyor. Prophet AI Detection Engineer ise inceleme ve avlarda ortaya çıkan bulguları geriye dönük test edilebilir, gözden geçirilebilir tespitlere dönüştürüyor. JB Poindexter örneğinde platformun mean time to investigate süresini dört dakikanın altına indirdiği ve 1.469 analist saatinin önüne geçtiği aktarıldı.
İlgili ekipler, Prophet AI’ın çalışma biçimini görüp demo talep edebiliyor.