Blog · Opublikowano · Zaktualizowano
Agent AI w SOC: kontrolowany triaż alertów bez oddawania reakcji modelowi
Krótka odpowiedź
Agent AI w SOC zbiera kontekst alertu: zasób, użytkownika, podobne zdarzenia i wynik reguły, proponuje klasyfikację z uzasadnieniem i przygotowuje zgłoszenie. Izolację hosta, blokadę konta i inne działania reakcji zatwierdza analityk. Agent kosztuje w Syntalith od 12 500 zł netto i przy 1 500 alertach miesięcznie po 5 minut zwraca się w 2,7 miesiąca.
Jak pracujemySzczegóły ↓
- 01Rozmowa30 min z inżynierem, 0 zł
- 02Prototypdziałający system na Twoim procesie i Twoich danych, 0 zł
- 03Wdrożeniecel i stała cena w umowie, 50% przy podpisaniu
- 04Odbiór50% po osiągnięciu celu
- netto za agenta dla jednego procesu, budowa płatna raz
- od 12 500 zł
- od podpisania umowy do odbioru
- 6–16 tygodni
- darmowy prototyp na Twoich sprawach
- 0 zł
Należymy do programów partnerskich OpenAI i Anthropic, twórców ChatGPT i Claude, i uczymy się z ich oficjalnych kursów. Co to znaczy ↓
Autor: Syntalith · 2 min czytania
Statystyki
Cyberbezpieczeństwo i AI: statystyki 2026
2,7 mies.
zwrotu agenta za 12 500 zł przy 1 500 alertach miesięcznie: 8 306 zł pracy dziś, 3 620 zł ze sprawdzaniem i modelem. Scenariusz.
27%
Według ESET i DAGMA (2026) tylko 27% firm ma spisaną politykę korzystania z AI.
Źródło: ESET i DAGMA, Cyberportret polskiego biznesu 2026 (2026) ↗
10%
Według ESET i DAGMA (2026) 10% pracowników przyznaje, że wkleja wrażliwe dane firmy do otwartych modeli AI.
Źródło: ESET i DAGMA, Cyberportret polskiego biznesu 2026 (2026) ↗
40%
Według Gartnera (2025) ponad 40% projektów agentów AI zostanie przerwanych do końca 2027 r. z powodu kosztów, niejasnej wartości albo słabej kontroli ryzyka.
90%
Według Komisji Europejskiej (2026) 90% firm używających AI deklaruje, że decyzje podejmują ludzie, a w pełni automatycznie zapada 2% decyzji.
Źródło: Komisja Europejska, Flash Eurobarometer 578 (2026) ↗
Dane sprawdzone: 22 października 2026
Gdzie naprawdę boli SOC
Analityk pierwszej linii dostaje alert z EDR. Zanim oceni, czy to fałszywy alarm, sprawdza, czyj to komputer, czy użytkownik pracuje zdalnie, czy podobny alert był wcześniej i jak go zamknięto, i czy zasób jest krytyczny. Każdy alert to kilka minut zbierania kontekstu z kilku systemów, a większość kończy się zamknięciem.
Agent zbiera ten kontekst przy alercie: dane zasobu z CMDB, użytkownika z systemu tożsamości, podobne zdarzenia z ostatnich tygodni i sposób ich zamknięcia. Proponuje klasyfikację z uzasadnieniem i przygotowuje zgłoszenie. Nie warto zaczynać od obietnicy, że AI usunie większość fałszywych alarmów: wynik zależy od jakości reguł, telemetrii i tego, czy zespół konsekwentnie opisuje zamykane alerty.
- Agent czyta dane i proponuje, nie zmienia konfiguracji
- Izolacja hosta, blokada konta i zmiana reguł czekają na analityka
- Każda propozycja ma uzasadnienie i źródła
- Historia działań agenta trafia do tego samego systemu logów co praca ludzi
CISA opisuje automatyzację w operacjach bezpieczeństwa jako strategię zaczynającą od powtarzalnych, dobrze opisanych kroków. Ramy reakcji na incydenty opisuje NIST.
Ile to kosztuje i kiedy się zwraca
- Dziś
- 1 500 alertów × 5 min = 125 godz. (8 306 zł)
- Z systemem człowiek sprawdza wynik w 40% czasu
- 3 322 zł
- Model, 3 wywołania na sprawę, Claude Sonnet 5.5
- 298 zł
- Koszt jednej sprawy
- 5,54 zł dziś, 2,41 zł z systemem
- Oszczędność
- 4 686 zł/mies.
Zwrot 12 500 zł
2,7 mies.
Wolumen, czas i udział sprawdzania to założenia scenariusza. Godzina pracy 66,45 zł to przeciętne wynagrodzenie według GUS z września 2026 r. z kosztami pracodawcy, 168 godz. w miesiącu. Model: 6 000 tokenów wejścia i 500 wyjścia na wywołanie po stawkach Anthropic, kurs NBP 3,8889 zł.
Rachunek liczy pracę wokół sprawy: szukanie, czytanie, pisanie i przekazywanie. Zostaje czas na sprawdzenie wyniku, w scenariuszu 40% dzisiejszej pracy. Przed wyceną mierzymy oba czasy na 20 do 100 sprawach, które zespół już obsłużył, w teście za 0 zł trwającym 5 dni roboczych.
Rachunek celowo zakłada, że analityk nadal poświęca 40% dzisiejszego czasu na każdy alert. Zbieranie kontekstu znika, ale ocena zostaje. Większy zysk to czas reakcji: alert z kompletnym kontekstem trafia do decyzji w ciągu minut, bez czekania w kolejce. Przy prawdziwym incydencie to ma największe znaczenie.
Compliance: o co pyta audytor
Audytor pyta, kto podjął decyzję, na jakiej podstawie i czy da się to odtworzyć. Dyrektywa NIS2 wymaga zarządzania ryzykiem i obsługi incydentów, a w sektorze finansowym dochodzi DORA. Agent, który proponuje i zapisuje uzasadnienie, ułatwia odpowiedź. Agent, który sam reaguje bez śladu, ją utrudnia. Logi z danymi osobowymi wymagają też zasad przechowywania według RODO.
Kilkadziesiąt alertów dziennie, dobre reguły
playbooki w obecnym SOAR
konfiguracja
Dużo fałszywych alarmów z jednej reguły
poprawa reguły i strojenie
bez budowy
Tysiące alertów, kontekst w kilku systemach
agent zbierający kontekst i proponujący klasyfikację
od 12 500 zł
Od czego zacząć
Pilotaż obejmuje kilka klas alertów i tryb obserwacyjny: agent proponuje klasyfikację zamkniętych alertów, a zespół porównuje ją z własną decyzją. Takie wdrożenie budujemy w ramach agentów AI. Na bezpłatną analizę wystarczy opis jednej sprawy z ostatnich tygodni i narzędzi, w których się toczyła. Nie trzeba przesyłać poufnych dokumentów, a plan na piśmie dostajesz w 2 dni robocze.
Przykład z liczbami · Scenariusz
Tak liczymy zwrot: AI w zespole IT
Ten sam rachunek robimy na bezpłatnej analizie dla Twojego SOC.
7 974 zł
miesięcznie kosztuje szukanie odpowiedzi na 600 pytań w dokumentacji
Zwrot: 1,9 mies.
12 min na znalezienie odpowiedzi albo zapytanie kolegi i sprawdzanie w 15% dawnego czasu to nasze założenia. Godzina pracy 66,45 zł to nasze wyliczenie z przeciętnego wynagrodzenia według GUS z września 2026 r. (9 266,48 zł) z kosztami pracodawcy, 168 h w miesiącu. Koszt modelu: Claude Sonnet 5.5, około 6 000 + 500 tokenów na odpowiedź z dokumentów, kurs NBP 3,8889 zł z 21 października 2026 r.
Zobacz pełny rachunek →
