O SOC com IA da Greenlight resolve mais de 90% de até 4.000 casos por mês sozinho. Entenda o que é resolvido

Um alerta chega: um lote de cartões de pagamento ligados a clientes da Greenlight apareceu em uma fonte da dark web. Há um ano, um analista gastaria de 15 a 30 minutos nisso, checando o status dos cartões, procurando relatos duplicados, revisando sessões de conta e abrindo tickets. Historicamente, 73% dos alertas dessa fonte específica eram falsos positivos.

A Greenlight Financial, uma fintech dos EUA que, segundo o post, opera sob os mesmos requisitos regulatórios dos grandes bancos, agora entrega esse trabalho a um sistema de IA chamado Luna. A empresa relata que a Luna resolve mais de 90% dos seus 3.000 a 4.000 casos mensais de segurança e risco sem um analista humano.

Como a Luna é construída

A Luna roda no Amazon Bedrock AgentCore em dois níveis.

1. Alerta entra
2. Triagem nível 1
3. Investigação nível 2
4. Analista humano
5. Aprendizados do caso

Nível 1 cuida do volume. Um agente supervisor orquestra mais de 30 agentes especializados que cobrem identidade, endpoints, observabilidade, pagamentos e threat intelligence, dentro de uma rede privada. Só com o Nível 1, 83% dos casos fecharam sem escalonamento e 17% foram para analistas.

Nível 2 pega os cerca de 10% dos casos que ficam abaixo do limite de confiança do Nível 1. Ele usa um modelo com raciocínio estendido, roda em agenda ou sob demanda e combina de três a cinco fontes de dados por caso. Com os dois níveis e o loop de aprendizados, os escalonamentos caíram para menos de 10%.

Memória mantém uma janela móvel de 30 dias de casos recentes e um armazenamento de longo prazo de preferências e templates de resolução. Um pipeline separado captura como cada caso foi resolvido e o realimenta.

Os resultados relatados: o tempo mediano de triagem dos casos rotineiros caiu de 15 a 30 minutos para segundos de um dígito, e a Greenlight estima de 900 a 1.800 horas de analista evitadas por mês. A empresa estendeu a Luna da segurança para a triagem de risco financeiro em dois meses.

O que significa “resolvido” aqui

O número impressiona, e é importante lê-lo com precisão. O post é explícito: a Luna faz a triagem e recomenda. Ela não toma ações de reparo por conta própria; o reparo é feito por uma pessoa ou por uma política automatizada aprovada de antemão.

Então “resolver de forma autônoma” significa que a investigação chegou a uma conclusão sem um analista: um falso positivo fechado, uma duplicata mesclada, um problema real documentado e encaminhado. É exatamente aí que a autonomia pertence a um SOC. A triagem tem volume alto, é em grande parte reversível e fácil de auditar depois. Contenção e reparo, como bloquear um cartão ou travar uma conta, afetam clientes e precisam de uma decisão com dono.

É o padrão que chamamos de autonomia com limites no SOC agêntico, com números reais anexados.

O que outros times de segurança podem copiar

Escale pela confiança, não pela categoria. O Nível 2 é acionado pela incerteza do Nível 1, não pelo tipo de alerta. Isso mantém os casos fáceis baratos e entrega ao modelo caro apenas os difíceis.

Meça primeiro a economia dos falsos positivos. Uma fonte com 73% de falsos positivos é o ponto de partida ideal: volume alto, risco baixo, ganhos mensuráveis.

Trate o loop de aprendizados como superfície de controle. As resoluções realimentadas nos supervisores mudam o comportamento futuro. Alguém deveria revisar o que está sendo aprendido, do mesmo jeito que um líder de time revisa os fechamentos de um analista júnior, ou um padrão errado será repetido na velocidade da máquina.

Mantenha o reparo atrás de política. A linha que a Greenlight traça entre recomendar e agir é o que torna uma taxa de 90% de autonomia aceitável para uma empresa regulada. Mantenha essa linha explícita.