Um agente que resume um alerta e outro que encerra um caso de segurança entregam produtos diferentes. O segundo pode remover trabalho da fila, mas precisa explicar qual evidência permite qual ação. O estudo Sophos Daybreak liga velocidade à responsabilidade operacional, deixando questões importantes de confiabilidade abertas.
A Sophos relata cerca de 89 segundos para investigação e resposta nos casos dos agentes, contra média anterior próxima de 38 minutos, e 52% de casos MDR resolvidos de ponta a ponta por IA. São números da empresa, não prova de que todo incidente feche em 89 segundos. Os mesmos valores apareceram em maio de 2026; o relato de outubro da OpenAI acrescenta detalhes, não uma medição inteiramente nova.
Fixe a unidade de trabalho
Pergunte onde começa o cronômetro: alerta bruto, caso correlacionado, ativação do agente ou validação? E onde termina? Conter um endpoint comprometido não é necessariamente remediação completa, restauração ou remoção de todos os caminhos de acesso. A comparação exige início, parada e categorias elegíveis consistentes.
Os agentes entram depois de filtragem e correlação da telemetria, não analisam sozinhos cada evento bruto. O sistema reúne contexto, detecções, indicadores e inteligência de ameaças, depois planeja, executa e revisa. Telemetria confiável e procedimentos maduros fazem parte do resultado. Uma equipe interna não herda essas condições ao comprar o mesmo modelo.
Mapeie a autorização do cliente para a ação
A Sophos descreve três modos. Notify investiga e recomenda, o cliente age. Collaborate envolve decisão conjunta. Authorise permite à Sophos responder dentro dos limites acordados. Valem para pessoas e agentes; um veredito rápido não pode ampliar silenciosamente a autorização.
Exija uma matriz de ações com reversibilidade, impacto, acesso a dados e escalonamento obrigatório. Casos conhecidos podem operar sob supervisão sem aprovação a cada passo; padrões novos, decisões de alto risco e falta de contexto exigem participação direta. Os 48% restantes não representam automaticamente falha de automação: podem ser os casos difíceis que exigem especialistas.
Combine encerramento com correção
Nem a redução de 96% no tempo nem os 52% de encerramento revelam falsos positivos, ameaças perdidas, reaberturas, reversões do cliente ou correções dos analistas. Peça essas medidas por categoria, não só agregadas. Menos automação pode refletir segurança mais estrita ou trabalho mais difícil, não produto inferior.
Amostre casos encerrados e teste evidências adversariais, telemetria incompleta e administração legítima que se parece com ataque. Achados do modelo precisam de suporte validado antes de ações importantes. O revisor precisa de tempo, evidência e autoridade para impedir a resposta; ter alguém em algum lugar não evita aprovação habitual ou viés de automação.
Teste resultados limitados antes de ampliar poder
Escolha casos frequentes, com evidência clara, respostas reversíveis e escalonamento maduro. Compare esforço total, detecção, interrupção indesejada, reabertura e recuperação com o processo atual. Preserve evidências, ações das ferramentas, responsável e autorização para reconstruir cada caso depois.
Revise local de processamento, retenção, acesso dos componentes e contratos de telemetria externa, além do desempenho. Amplie casos apenas com avaliação, reversão e aprovação responsável correspondentes. O padrão de compra não é o maior percentual autônomo, mas encerramento adequado num risco definido, com erros mensuráveis e responsável claro quando a resposta falha.