Al tientallen jaren vormt het Security Operations Center (SOC) het kloppende hart van de verdediging binnen organisaties. Analisten monitoren continu dashboards, beoordelen alerts en onderzoeken incidenten. Het SOC wordt vaak gezien als de laatste verdedigingslinie, waar intelligence wordt omgezet in actie. Toch is het SOC in zijn huidige vorm feitelijk al achterhaald. Niet vanwege het gebrek aan vaardigheid of inzet van analisten, maar omdat de aard van cyberdreigingen sneller verandert dan de operationele modellen kunnen bijbenen.

Het moderne SOC is nog steeds grotendeels afhankelijk van handmatige processen. Analisten schakelen tussen verschillende tools, verrijken alerts handmatig en valideren detectieregels met veel inspanning. Leveranciers beloven een revolutie met een AI-gestuurd SOC dat autonoom kan onderzoeken, de werklast drastisch vermindert en proactief reageert op dreigingen. In de praktijk blijven deze beloften echter vaak wensdenken. Anton Chuvakin en Oliver Rochford schreven hierover in When Marketing Fails, waarin zij het verschil tussen AI SOC-marketingclaims en de realiteit benadrukken. AI kan SOC-analisten ondersteunen, maar vervangt zelden menselijke inspanning of lost incidenten autonoom op. Analisten blijven de bottleneck en AI mist vaak de contextuele kennis om volledig betrouwbare beslissingen te nemen.

Tegelijkertijd opereren aanvallers op machinale snelheid. Eind 2025 bevestigde Google’s Threat Intelligence Group dat cybercriminelen AI-gestuurde malware inzetten die tijdens uitvoering de eigen code herschrijft en aanpast, wat een fundamentele verandering in offensieve capaciteiten betekent. Een voorbeeld is PROMPTFLUX, dat in real-time interactie heeft met het Gemini-model van Google om zijn VBScript-payload dynamisch te regenereren en zo detectie en persistentie te omzeilen, een mate van autonome aanpassing die ongekend is in traditionele malwarefamilies (AI‑powered malware die code herschrijft).

Ook Anthropic meldde het verstoren van een van de eerste grootschalige AI-georkestreerde cyberspionagecampagnes, waarbij een AI-tool grote delen van een inbraakframework uitvoerde met minimale menselijke tussenkomst (Anthropic rapporteert verstoring AI-spionage). Uit het Google/Mandiant M-Trends 2026 rapport blijkt dat aanvallers hun tempo versnellen, waarbij exploits vaak plaatsvinden voordat patches beschikbaar zijn en laterale bewegingen binnen 22 seconden plaatsvinden. Daarnaast toont Anthropic’s Mythos Preview, nog in handen van verdedigers, aan dat AI honderden kwetsbaarheden in enkele dagen kan opsporen die normaal maanden onderzoek vergen, en meerdere lage niveaus aan kwetsbaarheden kan combineren tot één kritieke exploit (Anthropic’s Mythos Preview bij verdedigers).

Deze ontwikkelingen betekenen dat tegenstanders nu bijna op machinale snelheid opereren, met aanpassingen, gerichte aanvallen en uitvoering van campagnes sneller dan traditionele, mensgerichte SOC-processen kunnen bijhouden. Voor effectieve AI-gedreven verdediging is volledige, ongefilterde toegang tot data essentieel. Securityteams moeten elke relevante signaal kunnen analyseren, inclusief gevoelige informatie zoals broncode, interne documenten en vertrouwelijke communicatie, zonder concessies te doen aan privacy, beveiliging of organisatorische soevereiniteit. Dit houdt in dat de cybersecuritystack, data en AI-modellen volledig onder controle van de organisatie blijven, zonder afhankelijkheid van derde partijen die toegang beperken of beleidsbeperkingen opleggen.

Pas met onbeperkte toegang tot historische en actuele datasets kan AI effectief worden ingezet voor nauwkeurige detectie, diepgaande correlatie en betekenisvolle trendanalyses. Wanneer deze basis is gelegd, kunnen agentische AI-capaciteiten zoals uitlegbaarheid, controleerbaarheid en reproduceerbaarheid betrouwbaar functioneren. Analisten moeten begrijpen waarom AI tot bepaalde conclusies komt en elke beslissing en actie moet worden gelogd.