Demander à un modèle généraliste de pointe (ex. GPT, Claude) de trier une alerte SIEM semble pratique — jusqu'à ce qu'il invente un IOC, lise mal un CVE ou recommande un playbook inexistant. En sécurité, des réponses fausses mais plausibles sont pires qu'aucune réponse.
Les modèles généralistes sont larges ; la sécurité exige de la profondeur
Les LLM généralistes excellent en langage — pas en sémantique de logs, contexte d'incident ou distinction entre une règle firewall bruyante et une exfiltration active. Échecs courants en tâches SOC :
- Indicateurs hallucinés : IP, hash ou références CVE fabriqués qui gaspillent le temps analyste.
- Aveuglement aux faux positifs : Traiter chaque alerte comme également crédible sans réglage métier.
- Contexte playbook manquant : Conseils génériques ignorant la réponse réelle de votre environnement.
- Pas de boucle de feedback production : Le modèle n'apprend pas de vos incidents réels.
Un wrapper de prompt sécurité ne corrige pas cela. La profondeur exige données d'entraînement, alignement et déploiement dans un pipeline agentique — pas une boîte de chat greffée sur un SIEM.
Pourquoi la spécialisation gagne (SFT + DPO + RL)
Dolutech SOC Model V1 part d'une fondation open-weight éprouvée et la spécialise avec 22 000+ exemples validés par des curateurs — bases CVE, rapports d'incident, playbooks SOC et intelligence IOC. Le fine-tuning supervisé (SFT) enseigne les motifs métier ; le Direct Preference Optimization (DPO) de haute qualité aligne les sorties sur le triage analyste ; le renforcement continu (RL) améliore le modèle via le feedback production dans SOC AI Agent.
Sur notre SOC AI Bench interne — évalué via le même workflow agentique que SOC AI Agent — le modèle spécialisé atteint environ 81 % sur des tâches réelles d'analyse SOC. Benchmark interne aligné sur la méthodologie production, pas trivia synthétique ; les résultats reflètent un travail pertinent sur le terrain.
Pour les PME et MSSP, la leçon est pratique : le moteur de votre SOC doit être conçu pour la sécurité, pas recyclé depuis un chat généraliste. Rejoignez la waitlist SOC Model V1 pour un accès API anticipé et voyez la spécialisation là où elle compte — dans chaque ligne de log.
