AI triage è la prioritizzazione automatizzata o assistita degli alert di sicurezza, così gli analisti possono esaminare per primi gli eventi più importanti. Utilizza regole, machine learning, dati di arricchimento e punteggio comportamentale per classificare i risultati in base a rischio probabile, affidabilità e urgenza. In un SOC, AI triage aiuta a ridurre il sovraccarico di alert proveniente da strumenti come EDR, SIEM e NDR raggruppando i duplicati, sopprimendo il rumore a basso valore ed evidenziando gli alert che sembrano sospetti.
Questo è importante perché gli aggressori spesso generano molti segnali deboli prima che una compromissione diventi evidente: accessi insoliti, traffico anomalo host-to-host, cambiamenti di privilegi o attività di command-and-control. AI triage può collegare questi segnali in un caso a priorità più alta e accelerare la risposta. I difensori lo usano per ridurre i tempi di indagine, ma non sostituisce gli analisti. Se il modello è configurato male o la telemetria è incompleta, gli alert importanti possono comunque essere mancati o finire sepolti.