Kurumsal güvenlik ekipleri, her gün binlerce alarmı sıralı olarak incelemek yerine hangi işin hangi yapay zekâ katmanına ait olduğunu ayırmaya başladı. Claude, Codex ve Cursor gibi platformlar; tespit yazma, alarmları özetleme, olayları derleme ve tekrar eden işleri otomatikleştirme tarafında öne çıkarken, tüm alarmları tek başına inceleyen otonom AI SOC yaklaşımı ayrı bir katman olarak şekilleniyor.
Bu ayrım, yapay zekâya yönelik beklentileri de değiştiriyor. Tartışma artık “Yapay zekâ SOC’de olmalı mı” sorusundan çok, “Hangi yapay zekâ hangi işte en fazla değer üretiyor” noktasına taşınmış durumda.
Alarmı incelemek başka, analistlere yardımcı olmak başka
Güvenlik operasyon merkezlerinde tablo hızla değişiyor. Saldırganlar yapay zekâyı oltalama kampanyaları üretmek, zararlı yazılım geliştirme sürecini hızlandırmak ve operasyonlarını otomatikleştirmek için kullanıyor. Savunma tarafında ise ekipler yapay zekâdan alarm eleme, tespit kuralı üretme, raporlama ve manuel iş yükünü azaltma gibi alanlarda yararlanıyor.
Bu noktada güvenlik ekiplerinin önünde iki farklı ihtiyaç ortaya çıkıyor. Birincisi, mevcut araçlardan gelen alarmları hiç durmadan işleyen ve hangi alarmın insan müdahalesi gerektirdiğine karar veren otonom bir yapı. İkincisi ise analistlerin, tespit mühendislerinin ve olay müdahale ekiplerinin Claude, Cursor ya da Codex gibi platformlarla birlikte çalışarak daha karmaşık işlere odaklanması.
Otonom AI SOC mimarisinde alt katmanı SIEM, EDR, bulut güvenliği, kimlik platformları ve e-posta güvenliği gibi mevcut ürünler oluşturuyor. Bu sistemler alarm üretmeye devam ediyor. Orta katmanda, bu alarmları araçlar arasında ilişkilendiren, kurumsal bağlamı dikkate alan ve hangilerinin insan dikkatini hak ettiğini ayıran otonom inceleme motoru bulunuyor. En üstte ise güvenlik uzmanlarının yapay zekâ ile birlikte çalıştığı, soru sorduğu, kural yazdığı, rapor hazırladığı ve tehdit avına çıktığı platformlar yer alıyor.
Bu yapıda Claude gibi araçların görevi her alarmı tek başına karara bağlamak değil. Bir analist, bu sistemden şüpheli PowerShell davranışını açıklamasını, bir incelemeyi özetlemesini, Sigma kuralı taslağı oluşturmasını ya da bir tespit sorgusunu başka bir dilde yeniden yazmasını isteyebiliyor. Metinde de belirtildiği gibi, bunlar yapay zekânın güçlü olduğu işler. Ancak her gün binlerce alarmı 7/24 çevrimiçi biçimde değerlendirmek, sürekli çalışan ve organizasyon bağlamını hafızasında tutan ayrı bir otomasyon mimarisi gerektiriyor.
Metinde bu fark, yüksek hacimli çağrı merkezi benzetmesiyle anlatılıyor. Claude gibi bir platformu, gün boyu gelen her güvenlik alarmına yanıt veren bir 24/7 soruşturma motoru gibi kullanmak, çok parlak bir danışmanı çağrı merkezindeki tüm telefonları açmaya zorlamakla aynı mantığa oturtuluyor. Danışman değerli kalıyor, ancak uzmanlığına uygun işlerde. Altyapı tarafında ihtiyaç duyulan ise, her alarmı sırayla işleyen ve bu yükü ölçeklenebilir biçimde taşıyan ayrı bir katman.
Metinde bu ayrım için bir başka benzetme daha yer alıyor. Claude’u her alarmda kullanmak, Formula 1 aracını paket dağıtımı için devreye sokmaya benzetiliyor. Araç olağanüstü bir mühendislik ürünü olabilir, fakat tasarımı yüksek hız için; yüksek hacimli lojistik için değil. Kurumsal SOC’ların ihtiyacı da yapay zekâyı her adımda değil, en fazla değer kattığı yerde kullanan bir yapı olarak tarif ediliyor.
Token ekonomisi ve MDR gerçeği SOC mimarisini değiştiriyor
Yapay zekâ platformlarının her alarmı soruşturmak için uygun görülmemesinin bir nedeni de maliyet. Bir inceleme, uç nokta telemetrisi, süreç ağaçları, kimlik doğrulama günlükleri, e-posta geçmişi, tehdit istihbaratı, önceki incelemeler, tespit kuralları ve kurumsal bilgi gibi çok sayıda bağlam parçasıyla başlıyor. Her ek bilgi, modelin karar verebilmesi için ek token tüketiyor.
Bu maliyet yapısı, bir analistin günde birkaç olay için Claude desteği alması halinde makul kalabiliyor. Fakat SOC tarafında her gün binlerce alarm üretildiğinde tablo değişiyor. Metinde, büyük bir dil modelinin her alarm için yeni bir inceleme yapması halinde kurumun günde on binlerce yapay zekâ konuşmasının ücretini ödemek zorunda kalacağı belirtiliyor. Bu oturumların büyük kısmı da alarmın zararsız olduğunu söylemekle sonuçlanıyor. Alarm hacmi arttıkça maliyet de doğrudan büyüyor.
Otonom AI SOC yaklaşımı burada devreye giriyor. Metne göre iyi tasarlanmış bir yapı, her alarmı sıfırdan bir sohbet konusu gibi ele almak yerine deterministik iş akışlarını, adli analiz adımlarını, kurumsal hafızayı, önbelleğe alınmış bağlamı ve seçici yapay zekâ muhakemesini bir araya getiriyor. Büyük dil modelleri yalnızca gerçek değer ürettikleri aşamalarda kullanılıyor. Böylece sistem, her alarmı kesintisiz biçimde inceleyebiliyor ve maliyet daha öngörülebilir kalıyor.
Bu yaklaşımın pratik gerekçelerinden biri de MDR modeli. Metinde, birçok kurumun kendi SOC’unu işletmediği, bunun yerine çevresini izlemek için yönetilen tespit ve yanıt sağlayıcılarına güvendiği hatırlatılıyor. MDR ortamlarında inceleme akışını genellikle sağlayıcı yönetiyor; analistler, vaka yönetim sistemi, inceleme geçmişi ve çoğu zaman zenginleştirilmiş telemetri de onların elinde oluyor. Müşteriye genellikle yalnızca yükseltilmiş olaylar ve periyodik raporlar ulaşıyor.
Böyle bir tabloda Claude gibi bir platformun tek başına alarm soruşturması yürütmesi zorlaşıyor. Çünkü modelin, MDR’nin sahip olduğu aynı verilere erişimi olmuyor. Kurum kendi yapay zekâ destekli iş akışını kurmak istese bile, ham alarmlar, telemetri, inceleme artefaktları ve tarihsel bağlam çoğu zaman sağlayıcının platformunda kalıyor. Metin, bu nedenle yapay zekâ platformlarının yalnızca veri önlerine geldiğinde güçlü olduğunu, ellerinde olmayan veri üzerinde mantık yürütemeyeceklerini vurguluyor.
Otonom AI SOC burada hem güvenlik araçlarının yanına yerleşen hem de olaylar geldikçe inceleme yapan katman olarak konumlanıyor. Kurumsal bağlamı koruyor, bilgiyi saklıyor ve bu bilgiyi hem analistlere hem de Claude benzeri platformlara açıyor. Metinde bunun, MDR’leri bir gecede ortadan kaldırmak anlamına gelmediği; ancak kurumlara incelemeleri, kurumsal bilgiyi ve güvenlik operasyonlarının kontrolünü sahiplenme yönünde bir yol sunduğu belirtiliyor.
Alarm hacmi konusu da bu çerçevenin merkezinde. Güvenlik ekiplerinin çoğu, gelen her alarmı inceleyecek kapasiteye sahip değil. Bu yüzden yüksek öncelikli alarmlar öne alınırken, düşük öncelikli olanlar çoğu zaman daha az ilgi görüyor. Metinde buna karşılık verilen veri, 2025 boyunca işlenen 25 milyondan fazla güvenlik alarmının analizine dayanıyor. Bu incelemede, doğrulanmış olayların yaklaşık yüzde 1’inin düşük önem dereceli ya da yalnızca bilgilendirme amaçlı alarmlardan başladığı kaydediliyor.
Bu bulguya göre tehdidin başlangıç noktası, alarmın önem derecesiyle sınırlı değil. Metin, çözümün analistlere daha fazla baskı kurmak olmadığını; kapasiteyi artırmak olduğunu söylüyor. Otonom AI SOC de tam olarak bu kapasiteyi, yalnızca en gürültülü alarmları değil, tüm alarmları inceleyerek sağlıyor ve yalnızca insan yargısı gerektiren vakaları üst seviyeye çıkarıyor.
Claude ne zaman öne çıkıyor, otonom katman neyi üstleniyor
Otonom AI SOC bir alarmı tamamladığında Claude ve benzeri platformların rolü daha da netleşiyor. Analistler artık çoklu konsollardan kanıt toplamakla vakit kaybetmiyor. Bunun yerine tamamlanmış incelemeler hakkında soru sorabiliyor, tespit kurallarını taslak halinde hazırlayıp iyileştirebiliyor, gelişen tehditleri avlayabiliyor, olay özetlerini paydaşlara hazırlayabiliyor, olay raporları oluşturabiliyor ve karmaşık vakalarda nihai kararı verebiliyor.
Metinde bu iş bölümü açık biçimde tanımlanıyor. Otonom AI SOC, bitmeyen alarm eleme ve tekrarlayan soruşturma yükünü taşıyor. Yapay zekâ platformu ise insanlara düşünme, üretme ve karar verme aşamalarında yardımcı oluyor. Böylece makineler tekrar eden incelemeleri yürütürken, insanlar strateji, muhakeme ve sürekli iyileştirme tarafına odaklanabiliyor.
İncelemede ayrıca Intezer’in kurucu ortağı ve CEO’su Itai Tevet ile CMO’su Lital Asher-Dotan’ın katılacağı bir webinar duyurusu da yer alıyor. Duyuruya göre ikili, yapay zekânın güvenlik operasyonlarında tam olarak nereye oturduğunu gerçek örneklerle konuşacak. Oturumun, bu konuda “sıkıcı bir webinar” yerine daha doğrudan bir sohbet olarak planlandığı ifade ediliyor. Katılımcıların ayrıca Itai Tevet’in CISO’lar için hazırladığı, SOC’de yapay zekânın nasıl kullanılacağına odaklanan rehberin tamamına ilk erişimi de alacağı belirtiliyor.
Duyuruda üç başlık öne çıkarılıyor: Claude gibi platformların neden insanlara yardımcı olmak için tasarlandığı, her alarmı tek tek incelemeye uygun olmadığı; yüksek hacimli SOC’larda yapay zekâ incelemesinin token ekonomisinin nasıl değiştiği; ve otonom AI SOC ile yapay zekâ platformlarının birbirini nasıl tamamladığı. Metin, yapay zekâ pazarında çok sayıda ürün öne çıkarken, güvenlik ekiplerinin hangi aracın hangi işte kullanılması gerektiğini netleştirmeye çalıştığını aktarıyor.
Bu haber metninde de temel ayrım aynı: Claude, Codex ve Cursor gibi platformlar güvenlik uzmanlarının işini hızlandırıyor; otonom AI SOC ise alarmları sürekli işleyerek operasyonun omurgasını oluşturuyor. İki yaklaşımın aynı SOC içinde birlikte çalıştığı model, metnin ana mesajı olarak öne çıkıyor.