Kern des Modells ist eine zusätzliche Ermittlungsschicht zwischen Netzwerkaktivität, Erkennung und bestätigter Bedrohung. Sobald ein Signal auftritt, kann ein Agent die Erkennung validieren, die zugrunde liegende Netzwerkaktivität prüfen, die betroffene Entität profilieren, historisches Verhalten einbeziehen, verwandte Aktivität korrelieren und weitere Belege aus den Daten sammeln. Agenten arbeiten dabei asynchron, verfolgen mehrere Untersuchungen parallel und liefern belegte Ergebnisse zurück.
Agentische Triage-Abläufe nutzen strukturierte Ermittlungs-Playbooks, um tiefe Netzwerktelemetrie zu untersuchen und datengestützte Urteile zu erzeugen. Der Gewinn liegt nicht nur in der Geschwindigkeit: Es lassen sich mehr Signale untersuchen, ohne menschliche Ressourcen zu verbrauchen. Der manuelle Ermittlungsschritt fällt weg, und die Datenbasis, die vor Erreichen eines Analysten ausgewertet wird, ist breiter.
Interessanter ist laut Corelight, was vor und jenseits des Alarms passiert. Threat Hunting muss nicht mit der Frage beginnen, was erkannt wurde, sondern kann mit der Frage beginnen, was der Angreifer tut. Jede solche Hypothese impliziert beobachtbares Verhalten; der Netzwerkverkehr liefert Belege, die sie stützen oder widerlegen — und die klären, ob ein erkanntes Signal überhaupt Bedeutung hat. KI-gestütztes, hypothesengetriebenes Hunting ersetzt die Erkennung nicht, sondern nutzt Netzwerkbelege, um überprüfbare Erkennungen zu testen und zu erweitern. Netzwerktelemetrie wird damit zur Grundlage der Untersuchung.
Der entscheidende Vorteil: Ein Agent braucht keine Gewissheit, um zu beginnen. Er kann einem schwachen Signal nachgehen, eine Hypothese prüfen und abbrechen, wenn die Belege sie nicht stützen. Anschließend passt er die Hypothese an und wiederholt den Zyklus — schneller, als es ein menschlicher Analyst könnte. Die meisten Untersuchungen können ohne menschliche Beteiligung enden; die Fälle, die eine Eskalation rechtfertigen, kommen mit Belegen und Kontext beim Analysten an.
Corelight stellt die Verschiebung als Ablaufkette dar. Statt „Alarm → Warteschlange → Analyst → Untersuchung → Bewertung" lautet die agentische Alarmvalidierung: „Alarm → Warteschlange → maschinelle Untersuchung → Belege → menschliches Urteil". Und statt des klassischen Hunting-Pfads „Telemetrie → Signal → Analyst → Hypothese → Untersuchung → Bewertung" tritt das hypothesenbasierte Modell: „Telemetrie → Signal → Hypothese → maschinelle Untersuchung → Belege → menschliches Urteil".
Das Ergebnis ist eine größere Ermittlungsabdeckung, ohne die Analystenkapazität proportional zu erhöhen. Ein hypothesengetriebenes SOC skaliert, wenn der Dauerbetrieb günstig genug ist — Menschen wechseln dann von der Durchführung der Untersuchung zur Beurteilung ihres Ergebnisses. Untersuchungen müssen nicht mehr an der Warteschlange beginnen, sondern können am Signal ansetzen: Agenten validieren Alarme anhand von Telemetrie, testen Hypothesen und verfolgen verdächtige Aktivität, während sie sich entfaltet.
Corelight vermarktet dazu seine Open NDR Platform, die hochauflösende Netzwerktelemetrie, mehrschichtige Erkennung und KI-gestützte Untersuchung über hybride, Cloud- und lokale Umgebungen hinweg verbindet.