'Agentic ai? De meeste socs draaien nog op plakwerk van medewerkers'

In dit artikel:

Agentic AI is volgens Nick Maeckelberghe, medeoprichter en CEO van het Belgische cybersecuritybedrijf Crimson7, nog nauwelijks werkelijkheid in security operations centers (SOC’s). Tijdens de MSP Show op 22 september 2026 in de Utrechtse Jaarbeurs waarschuwde hij dat de term vooral als marketinglabel wordt gebruikt en de komende jaren dreigt te worden uitgehold.

Een chatbot die alerts samenvat, een dashboard aanvult of een bestaand draaiboek automatisch uitvoert, is volgens Maeckelberghe geen echte AI-agent. Daarvan is pas sprake als een systeem zelfstandig een volledige cyclus doorloopt van plannen, handelen, observeren en aanpassen. Zo’n agent zou op basis van dreigingsinformatie zelf een aanvalsscenario kunnen ontwerpen en uitvoeren, vaststellen welke detecties tekortschieten, nieuwe detectieregels schrijven en implementeren en vervolgens controleren of de organisatie eerder onopgemerkt is blootgesteld.

Die ontwikkeling is volgens hem noodzakelijk omdat aanvallers veel sneller opereren dan SOC’s kunnen reageren. Tussen verkenning en een eerste payload zit soms minder dan een uur, terwijl detectie gemiddeld 24 tot 48 uur duurt. Nieuwe detectieregels hebben bovendien vaak dagen of weken nodig om operationeel te worden. Veel SOC’s ontvangen wel grote hoeveelheden threat intelligence, maar verwerken die vooral in rapporten, briefings en tickets zonder de informatie om te zetten in werkende detecties.

Maeckelberghe pleit daarom voor dreigingsinformatie die inzicht geeft in het gedrag, de technieken en de werkwijze van aanvallers, in plaats van alleen lijsten met IP-adressen, hashes en domeinen. Daarnaast zijn volgens hem doorlopende, threat-informed simulaties nodig; een jaarlijkse training of een eenmalige pentest is niet genoeg zolang aanvalsmethoden blijven veranderen.

Detectieregels moeten volgens de Crimson7-topman worden behandeld als softwarecode, met versiebeheer, automatische tests en geautomatiseerde implementatie. Ook moeten systemen na iedere simulatie meten wat wel en niet is gedetecteerd en op basis daarvan verbeteringen doorvoeren. Zo ontstaat een gesloten feedbacklus die de detectiedekking voortdurend aanscherpt.

Hij noemt drie structurele problemen binnen SOC’s: regels worden vaak eenmalig gemaakt en daarna niet meer gecontroleerd, tests zijn momentopnames die snel verouderen en threat hunting steunt te vaak op kennis die alleen bij enkele senior analisten aanwezig is. Om dit te doorbreken presenteert hij Threat Informed Defence, een raamwerk dat steunt op dreigingsgerichte informatie, realistische simulaties, detectie als code en meetbare feedbacklussen. Volledig zelfsturende en zelfbeslissende SOC-agents blijven volgens hem voorlopig een toekomstbeeld; de markt overschat nu vooral wat de technologie al kan.