💻 computer science

A Unified Framework for Human AI Collaboration in Security Operations Centers with Trusted Autonomy

Dit artikel stelt een nieuw, gelaagd kader voor mens-AI-samenwerking in Security Operations Centers voor, dat vijf niveaus van AI-autonomie dynamisch koppelt aan specifieke Human-in-the-Loop-rollen en vertrouwensdrempels, waardoor adaptieve, uitlegbare besluitvorming wordt mogelijk gemaakt die het menselijk toezicht in cyberdefensie versterkt in plaats van vervangt.

Oorspronkelijke auteurs: Ahmad Mohsin, Helge Janicke, Ahmed Ibrahim, Iqbal H. Sarker, Seyit Camtepe

Gepubliceerd 2026-08-05

📖 7 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Ahmad Mohsin, Helge Janicke, Ahmed Ibrahim, Iqbal H. Sarker, Seyit Camtepe

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je het internet voor als een enorme, bruisende stad waar data stroomt als verkeer en mensen in digitale huizen wonen. In deze stad zijn er altijd kwaaddoeners die proberen in te breken in huizen, de post te stelen of chaos te veroorzaken. Om iedereen veilig te houden, hebben we speciale politiebureaus die Security Operations Centers (SOC's) worden genoemd. Dit zijn niet zomaar kamers met computers; het zijn commandocentra waar teams van menselijke detectives schermen bekijken, aanwijzingen analyseren en cybercriminelen stoppen voordat ze echte schade kunnen aanrichten. Maar hier is het probleem: de stad wordt groter en de slechteriken worden slimmer, sneller en sluwer. De politiebureaus verdrinken in een vloedgolf aan alarmen—duizenden per dag. De meeste van deze alarmen zijn vals, zoals een rookmelder die afgaat omdat iemand toast heeft laten aanbranden, maar de detectives moeten elk van hen controleren. Dit leidt tot "alert fatigue" (waakzaamheidmoeheid), waarbij de mensen zo moe en overweldigd raken dat ze de echte brand misschien missen.

Om dit op te lossen, zijn we begonnen met het inzetten van robot-helpers aangedreven door Kunstmatige Intelligentie (AI). Deze robots kunnen miljoenen aanwijzingen in een fractie van een seconde scannen, veel sneller dan welke mens dan ook. Maar er is een addertje onder het gras: als we de robots het hele werk laten doen, kunnen ze fouten maken die we niet begrijpen, of ze kunnen worden gefopt door slimme hackers. Als we ze niet genoeg laten helpen, zijn we weer terug bij het oververmoeide scenario. Dus de grote vraag voor wetenschappers is: Hoe bouwen we een perfecte samenwerking waarbij de menselijke detectives en de AI-robots elkaar vertrouwen, precies weten wie wat doet, en samenwerken zonder dat iemand uitgebrand raakt of een enorme fout maakt? Dit is de puzzel die een team onderzoekers uit Australië probeerde op te lossen.

Het Grote Idee van het Papier: Een Gids voor Samenwerking tussen Mens en Robotdetective

Het papier dat je leest, getiteld "A Unified Framework for Human–AI Collaboration in Security Operations Centers with Trusted Autonomy," is in essentie een regelboek voor het bouwen van dat perfecte team. De auteurs, Ahmad Mohsin en zijn collega's, stellen dat we niet zomaar AI op een beveiligingssysteem kunnen plakken en op het beste hopen. In plaats daarvan stellen ze een gestructureerde manier voor om menselijke hersens te mengen met robot-snelheid, gebaseerd op hoeveel we de robot vertrouwen en hoe lastig de taak is.

Denk aan het lesgeven aan een nieuwe leerling-bestuurder. Je zou ze niet op hun eerste dag al een drukke snelweg op laten rijden (dat zou te riskant zijn). Je begint in een leeg parkeerterrein (Niveau 1: De AI helpt, maar de mens houdt het stuur vast). Naarmate ze beter worden en je ze meer vertrouwt, laat je ze op rustige straten rijden (Niveau 2: De AI doet het rijden, maar de mens kijkt nauwlettend toe). Ten slotte, als ze bewezen hebben dat ze geweldig zijn en de weg veilig is, laat je ze misschien zelfstandig rijden terwijl je een dutje doet op de achterbank (Niveau 4: De AI is volledig in controle).

Het papier suggereert dat beveiligingscentra ditzelfde "level up"-systeem moeten gebruiken. Ze hebben een framework gecreëerd met vijf niveaus van autonomie (hoe onafhankelijk de AI is):

Niveau 0: De mens doet alles. De AI is slechts een hulpmiddel, zoals een rekenmachine.
Niveau 1: De AI stelt voor wat te doen, maar de mens moet "ja" zeggen voordat er iets gebeurt.
Niveau 2: De AI handelt routinetaken automatisch af, maar vraagt toestemming voordat hij iets belangrijks doet.
Niveau 3: De AI doet de meeste dingen zelfstandig, en de mens grijpt alleen in als er iets vreemds of gevaarlijks gebeurt.
Niveau 4: De AI runt de hele show voor routinezaken, en de mens controleert alleen later de rapporten.

De sleutel tot dit systeem is Vertrouwen. Het papier legt uit dat je de robot niet direct de sleutels kunt geven. Vertrouwen wordt opgebouwd in de loop van de tijd, net als een vriendschap. Als de AI goede beslissingen neemt en uitlegt waarom hij ze nam (zodat de mens het begrijpt), vertrouwt de mens hem meer, en kan de AI meer werk doen. Als de AI een "black box" is die zichzelf niet uitlegt, houdt de mens de controle en doet de robot minder werk.

De "Robot Avatar" Proefrit

Om te zien of hun idee echt werkt, hebben de onderzoekers niet alleen theorie geschreven; ze hebben een test gebouwd. Ze creëerden een gesimuleerde "cyber range", wat een soort videogame-wereld is die precies lijkt op het computernetwerk van een echt bedrijf. In deze game zetten ze een team van menselijke detectives en een speciale AI-assistent in die ze CyberAlly noemden. CyberAlly was een superintelligent robotbrein (gebaseerd op een type AI genaamd een Large Language Model) dat getraind was op twee jaar aan nep-cyberaanvallen en beveiligingsdata.

Ze voerden een reeks "oefenoorlogen" uit waarbij een team hackers (het Red Team) probeerde in te breken in het systeem, en het mens-AI team (het Blue Team) probeerde hen te stoppen. De scenario's waren realistisch en omvatten zaken als hackers die probeerden de sensoren die de diepte van een schip regelen te verstoren, of probeerden een trein te stoppen die voorraden levert.

Dit is wat er gebeurde in de simulatie:

De AI hielp de ruis te filteren: In het begin fungeerde de AI als een Niveau 1 assistent. Het keek naar duizenden meldingen en vertelde de mensen: "Hé, 70% van deze zijn valse alarmen, negeer ze." Dit maakte het werk van de mensen direct makkelijker.
Het team werd sneller: Toen de hackers aanvielen, hielp de AI de mensen om veel sneller te begrijpen wat er aan de hand was. In één test daalde de tijd die nodig was om een probleem te onderzoeken van drie uur naar slechts één uur. Dat is een verbetering van 67%.
De reactietijd schoot omhoog: Wanneer het tijd kwam om de aanval te stoppen (zoals het blokkeren van een slechte hacker of het vergrendelen van een deur), hielp de AI de tijd om het probleem op te lossen te verkorten van 8 uur naar 90 minuten.
Vertrouwen groeide natuurlijk: Aan het begin controleerden de mensen alles wat de AI zei. Maar naarmate de AI steeds weer gelijk had en zijn redenering duidelijk uitlegde, begonnen de mensen de AI meer te vertrouwen. Ze lieten de AI meer routinetaken automatisch afhandelen, waardoor ze zich konden concentreren op de echt moeilijke, complexe problemen.

Wat dit betekent voor de toekomst

Het papier suggereert dat dit "Trusted Autonomy" framework een winnende manier is om de toekomst van cybersecurity aan te pakken. Het laat zien dat we niet hoeven te kiezen tussen "alleen mensen" (wat te traag is) en "alleen robots" (wat te riskant is). In plaats daarvan kunnen we een partnerschap opbouwen waarbij de robot de saaie, snelle, repetitieve taken afhandelt, en de mens de complexe, spannende en belangrijke beslissingen neemt.

De onderzoekers ontdekten dat door de onafhankelijkheid van de AI zorgvuldig af te stemmen op het vertrouwsniveau van de mens, beveiligingsteams niet langer uitgebrand raken door valse alarmen en echte dreigingen veel sneller kunnen detecteren. Ze bewezen dit in hun simulatie, waarbij ze lieten zien dat de alert fatigue afnam en de reactietijden toenamen. Ze waarschuwen echter dat dit een test was in een gesimuleerde omgeving. Hoewel de resultaten zeer veelbelovend zijn, hebben echte beveiligingscentra rommelige, complexe systemen die misschien moeilijker te repareren zijn dan een videogame.

Kortom, dit papier geeft ons een blauwdruk voor de toekomstige cyber-politiebureaus: een plek waar mensen en AI beste vrienden zijn, elk doen waar ze het beste in zijn, en samenwerken om onze digitale stad veilig te houden. Het gaat er niet om de menselijke detective te vervangen door een robot; het gaat erom de detective een superkrachtige sidekick te geven die nooit moe wordt, nooit een aanwijzing mist en altijd weet wanneer hij hulp moet vragen.

Technische Samenvatting: Een Verenigd Raamwerk voor Mens-AI Samenwerking in Security Operations Centers met Vertrouwenlijke Autonomie

Probleemstelling

Security Operations Centers (SOC's) worden geconfronteerd met kritieke operationele uitdagingen, gedreven door de toenemende complexiteit van cyberdreigingen en de beperkingen van huidige automatisatiestrategieën. Ondanks de integratie van Security Information and Event Management (SIEM), Security Orchestration, Automation, and Response (SOAR) en Endpoint Detection and Response (EDR) tools, kampen SOC's met alert fatigue (waarschuwingsmoeheid), hoge percentages fout-positieven (tot 9%$ in sommige studies) en analist-burnout. Bestaande raamwerken vertrouwen vaak op statische of binaire autonomie-instellingen (ofwel volledig handmatig, ofwel volledig geautomatiseerd), waarbij geen rekening wordt gehouden met de variërende complexiteit, kritikaliteit en het risico dat verbonden zijn aan verschillende SOC-taken. Bovendien missen huidige benaderingen vaak systematische structuren om Human-in-the-Loop (HITL) besluitvorming, vertrouwenskalibratie en schaalbare autonomie te beheren. Deze kloof resulteert in inefficiënte workflows waarbij menselijke analisten worden overspoeld door ruis, terwijl AI-systemen een gebrek hebben aan het noodzakelijke toezicht voor hoogwaardige, nieuwe of ambigue incidenten.

Methodologie

De auteurs stellen een Verenigd Mens-AI Samenwerkingsraamwerk voor, gebaseerd op een triadische relatie tussen Autonomie, Vertrouwen en Human-in-the-Loop (HITL) betrokkenheid. De methodologie bestaat uit drie kerncomponenten:

Theoretische Modellering van Autonomie en Vertrouwen:
- Autonomie ( $A$ ): Gedefinieerd als een scalaire waarde $A \in [0, 1]$ , gemodelleerd als een functie van taakcomplexiteit ( $C$ ), risico ( $R$ ) en vertrouwen ( $T$ ): $A = 1 - (\lambda_1 C + \lambda_2 R)(1 - T)$ . Deze vergelijking stelt dat autonomie afneemt bij hogere complexiteit en risico, maar toeneemt bij hoger vertrouwen.
- HITL Betrokkenheid ( $H$ ): Gedefinieerd als het inverse van autonomie ( $H = 1 - A$ ), variërend van volledige menselijke controle tot volledige AI-autonomie.
- Vertrouwen ( $T$ ): Gemodelleerd als een gewogen som van verklaarbaarheid ( $E$ ), prestatiegeschiedenis ( $P$ ) en onzekerheid ( $U$ ): $T = \alpha_1 E + \alpha_2 P + \alpha_3(1 - U)$ .
Vijfniveau Autonomie-raamwerk:
Geïnspireerd door de SAE J3016-standaard voor voertuigautomatisering, mappen de auteurs SOC-operaties naar vijf onderscheidende autonomieniveaus (0–4), afgestemd op SOC-analist-tiers (Tier 1–4) en NIST Cybersecurity Framework-functies (Identify, Protect, Detect, Respond, Recover):
- Niveau 0 (Handmatig): Geen automatisering; analisten handelen alle taken af.
- Niveau 1 (AI-ondersteund): AI biedt beslissingsondersteuning (bijv. alert scoring); mensen behouden de volledige controle.
- Niveau 2 (Semi-autonoom): AI voert routinetaken uit, maar vereist expliciete menselijke goedkeuring voor kritieke acties.
- Niveau 3 (Conditioneel autonoom): AI voert gedefinieerde taken autonoom uit; mensen houden toezicht (Human-on-the-Loop) en grijpen alleen in bij uitzonderingen.
- Niveau 4 (Volledig autonoom): AI beheert uitgebreide functies met minimale menselijke supervisie (Human-out-of-the-Loop), met de focus op governance en audit.
Integratie van Situational Awareness (SA):
Het raamwerk integreert SA als een centrale bemiddelaar, waarbij het wordt onderverdeeld in zelfbewustzijn (herkennen van beperkingen), teammate-bewustzijn (begrip van rollen en cognitieve staten) en wereldbewustzijn (het behouden van een coherent beeld van het dreigingslandschap). Dit zorgt ervoor dat AI-inzichten worden geïnterpreteerd binnen menselijke mentale modellen.
Empirische Validatie (Casestudy):
Het raamwerk werd gevalideerd met behulp van een gesimuleerde cyber range (ACDC Cyber Range) met een gefinetuned Large Language Model (LLM) agent genaamd CyberAlly. CyberAlly, uitgerust met Retrieval-Augmented Generation (RAG) en kennisgrafen, opereerde binnen een Red Team vs. Blue Team oefening met betrekking tot IT/OT-omgevingen (maritieme haveninstallaties). De agent interageerde met SIEM (Wazuh), SOAR en analisten via een chatinterface, waarbij het door de autonomieniveaus vorderde op basis van incidentcomplexiteit en gevestigd vertrouwen.

Belangrijkste Bijdragen

Triadisch Raamwerk: Het artikel formaliseert de wisselwerking tussen Autonomie, Vertrouwen en HITL, en biedt een gestructureerde aanpak voor dynamische taakallocatie in SOC's.
Gelaagde Autonomie-schaal: Het introduceert een fijnmazig, vijfniveau autonomiemodel dat verder gaat dan binaire automatisering, waardoor adaptieve delegatie mogelijk is op basis van taakrisico en analistenvertrouwen.
Rolafstemming: Het raamwerk koppelt specifieke SOC-analist-tiers (Tier 1–4) aan de overeenkomstige autonomieniveaus en HITL-configuraties, wat de verantwoordelijkheden verduidelijkt van initiële triage tot strategische governance.
Operationeel Workflowontwerp: Het beschrijft collaboratieve workflows voor Alert Management, Threat Management, en Response & Recovery, waarbij wordt aangetoond hoe AI en mensen gezamenlijk kunnen onderzoeken en beslissen.
Empirisch Bewijs: Door middel van de CyberAlly-casestudy levert het artikel een praktisch bewijs van de haalbaarheid van het raamwerk, waarbij wordt aangetoond hoe een LLM-gebaseerde agent fout-positieven kan verminderen en reactietijden kan versnellen terwijl menselijk toezicht behouden blijft.

Resultaten

De casestudy met de CyberAlly-agent in de ACDC cyber range leverde de volgende kwantitatieve en kwalitatieve resultaten op:

Reductie van Fout-positieven: De AI-agent verminderde het aantal fout-positieve alerts van 70% naar 35%, wat de signaal-ruisverhouding aanzienlijk verbeterde.
Onderzoeksefficiëntie: De onderzoektijden voor complexe incidenten (bijv. misbruik van inloggegevens, OT-manipulatie) werden verminderd van 3 uur naar 1 uur (een verbetering van 67%).
Reactietijd (MTTR): De gemiddelde tijd tot reactie (Mean Time to Respond) werd verminderd van 8 uur naar 90 minuten (een reductie van 80%) in specifieke scenario's met betrekking tot endpoint isolatie en dreigingsbeheersing.
Automatisatieschaal: Geautomatiseerde ticketing steeg van 10% naar 75% van de totale incidenten.
Vertrouwenskalibratie: De studie toonde aan dat vertrouwen niet statisch is; het evolueerde naarmate de AI verklaarbare rechtvaardigingen en consistente prestaties leverde, wat een geleidelijke verschuiving mogelijk maakte van Niveau 1 (Full HITL) naar Niveau 2/3 (Human-on-the-Loop) autonomie.

Betekenis en Claims

Het artikel claimt dat de primaire betekenis ligt in het bieden van een gestructureerde, schaalbare en theoretisch onderbouwde aanpak voor de integratie van AI in SOC's zonder menselijke expertise te vervangen. Door de "black box"-natuur van AI en de starheid van huidige automatisering aan te pakken, maakt het raamwerk Cognitieve SOC's mogelijk waar AI fungeert als een betrouwbare versterking van menselijke besluitvorming.

De auteurs stellen dat hun raamwerk:

De Kloof Overbrugt: Het verbindt theoretische modellen van autonomie en vertrouwen met praktische implementatie in SOC-workflows.
Risico's Mitigeert: Door autonomie te kalibreren op basis van vertrouwen en risico, voorkomt het automatisatiebias en waarborgt het verantwoording voor kritieke beslissingen.
Veerkracht Versterkt: Het stelt SOC's in staat om operaties op te schalen en het volume van moderne cyberdreigingen aan te pakken, terwijl analist-burnout en cognitieve belasting worden verminderd.
Evolutie Faciliteert: Het raamwerk ondersteunt de transitie van reactieve, regelgebaseerde SOC's naar proactieve, adaptieve en lerende security operations centers.

Het artikel concludeert dat hoewel uitdagingen met betrekking tot modeldrift, verklaarbaarheid en organisatorische adoptie blijven bestaan, het voorgestelde raamwerk een levensvatbaar pad biedt voor het ontwerpen van de volgende generatie SOC-architecturen die AI inzetten voor vertrouwelijke autonomie.