Pedir a um modelo generalista de fronteira (ex.: GPT, Claude) para fazer triagem de um alerta SIEM parece conveniente — até inventar um IOC, interpretar mal um CVE ou recomendar um playbook inexistente. Em segurança, respostas erradas mas plausíveis são piores do que nenhuma resposta.
Modelos generalistas são amplos; segurança exige profundidade
LLMs generalistas dominam linguagem — não semântica de logs, contexto de incidentes ou a diferença entre uma regra ruidosa de firewall e uma exfiltração ativa. Falhas comuns em tarefas SOC incluem:
- Indicadores alucinados: IPs, hashes ou referências CVE fabricados que desperdiçam tempo do analista.
- Cegueira a falsos positivos: Tratar cada alerta como igualmente credível sem afinação de domínio.
- Contexto de playbook em falta: Conselhos genéricos que ignoram como o seu ambiente realmente responde.
- Sem ciclo de feedback de produção: O modelo não aprende com os seus incidentes reais.
Um wrapper de prompt de segurança não corrige isto. Profundidade exige dados de treino, alinhamento e implantação num pipeline agéntico — não uma caixa de chat acoplada a um SIEM.
Por que a especialização vence (SFT + DPO + RL)
O Dolutech SOC Model V1 parte de uma base open-weight comprovada e especializa-a com mais de 22.000 exemplos validados por curadores — bases CVE, relatórios de incidentes, playbooks SOC e inteligência de IOC. O fine-tuning supervisionado (SFT) ensina padrões de domínio; o Direct Preference Optimization (DPO) de alta qualidade alinha saídas com a forma como analistas fazem triagem; o reinforcement learning (RL) contínuo melhora o modelo com feedback de produção no SOC AI Agent.
No nosso SOC AI Bench interno — avaliado pelo mesmo fluxo agéntico que alimenta o SOC AI Agent — o modelo especializado atinge aproximadamente 81% em tarefas reais de análise SOC. Este é um benchmark interno alinhado com a metodologia de produção, não trivia sintética; os resultados refletem trabalho relevante em campo.
Para PMEs e MSSPs, a conclusão é prática: o motor do seu SOC deve ser construído para segurança, não reaproveitado de chat generalista. Junte-se à waitlist do SOC Model V1 para acesso antecipado à API e veja especialização onde importa — em cada linha de log.
