Einem Frontier-Generalmodell (z. B. GPT, Claude) zu bitten, einen SIEM-Alarm zu triagieren, wirkt bequem — bis es ein IOC erfindet, ein CVE falsch liest oder ein nicht existierendes Playbook empfiehlt. In der Sicherheit sind plausibel klingende Fehlantworten schlimmer als gar keine Antwort.
Generalmodelle sind breit; Sicherheit braucht Tiefe
General-LLMs beherrschen Sprache — nicht Log-Semantik, Incident-Kontext oder den Unterschied zwischen einer lauten Firewall-Regel und aktiver Exfiltration. Typische Fehler bei SOC-Aufgaben:
- Halluzinierte Indikatoren: Erfundene IPs, Hashes oder CVE-Referenzen, die Analystenzeit verschwenden.
- Blindheit für False Positives: Jede Warnung gleich glaubwürdig behandeln ohne Domain-Tuning.
- Fehlender Playbook-Kontext: Generische Ratschläge ignorieren, wie Ihre Umgebung wirklich reagiert.
- Kein Produktions-Feedback-Loop: Das Modell lernt nicht aus Ihren echten Vorfällen.
Ein Security-Prompt-Wrapper behebt das nicht. Tiefe erfordert Trainingsdaten, Alignment und Deployment in einer agentischen Pipeline — keine Chatbox am SIEM.
Warum Spezialisierung gewinnt (SFT + DPO + RL)
Dolutech SOC Model V1 startet von einer bewährten Open-Weight-Basis und spezialisiert sie mit 22.000+ kuratierten Beispielen — CVE-Datenbanken, Incident-Reports, SOC-Playbooks und IOC-Intelligence. Supervised Fine-Tuning (SFT) lehrt Domain-Muster; hochwertiges Direct Preference Optimization (DPO) richtet Ausgaben an Analysten-Triage aus; kontinuierliches Reinforcement Learning (RL) verbessert das Modell aus Produktions-Feedback in SOC AI Agent.
Auf unserem internen SOC AI Bench — bewertet über denselben agentischen Workflow wie SOC AI Agent — erreicht das spezialisierte Modell etwa 81 % bei echten SOC-Analyseaufgaben. Interner Benchmark, an Produktionsmethodik ausgerichtet, keine synthetische Trivia; Ergebnisse spiegeln felrelevante Arbeit wider.
Für KMU und MSSPs ist die Lehre praktisch: Der Motor Ihres SOC sollte für Sicherheit gebaut sein, nicht aus General-Chat recycelt. Treten Sie der SOC Model V1-Warteliste bei für frühen API-Zugang und sehen Sie Spezialisierung dort, wo es zählt — in jeder Log-Zeile.
