SOCにおけるAI活用の盲点：心理学の「2つの思考」から考える自律型AIとアナリストの最適な協調

要点

• 多くのセキュリティ組織が、深い調査を支援するAIツールの導入に偏り、日常的アラートの処理という根本的な課題を見落としている。

• ダニエル・カーネマン氏の意思決定理論である「システム1（速い思考）」と「システム2（遅い思考）」は、SOC（セキュリティ監視センター）の設計にも適用できる。

• 企業におけるアラートの98%は自律的に解決可能であり、実際に人間のレビューが必要なのはわずか2%未満である。

• 日常的なアラート処理を人間に強いると、アナリストが疲弊し、低深刻度アラートに隠れた年間約54件の重大な脅威を見逃すリスクが生じる。

• 24時間体制で100%のシグナルを自動で調査する「自律型AI」を構築し、人間は本当に必要な2%未満の判断に集中すべきである。

• セキュリティ運用の現場（SOC：セキュリティ監視センター）において、人工知能（AI）の導入方法に重大な偏りがあることが指摘されている。米ITセキュリティメディア「The Hacker News」が2026年7月13日に公開した記事によると、多くの企業は人間の深い判断をサポートする「AIコパイロット（支援AI）」の導入に集中しており、日常的に発生する膨大なアラートを迅速に処理するためのアーキテクチャ（設計思想）を軽視しているという。この記事では、ノーベル経済学賞を受賞した心理学者ダニエル・カーネマン氏の意思決定理論を引き合いに出し、自律型AIと人間の最適な役割分担について議論を展開している。

意思決定理論「ファスト＆スロー」のSOCへの適用

この記事の著者は、フォーチュン50企業（全米上位50社）のCISO（最高情報セキュリティ責任者）と面談した際、その企業のセキュリティチームが対話型AI「Claude（クロード）」を検知ツールに接続し、特定の調査業務で成果を上げている事例を確認した。しかし同時に、その設計は人間の高度な判断が必要なごく一部のアラートには有効であるものの、それ以外の圧倒的多数のアラートを無視する構造になっていることに違和感を抱いたという。

著者はこの問題の背景として、カーネマン氏の著書『ファスト＆スロー（Thinking, Fast and Slow）』で示された、人間の脳における「2つの並行する思考システム」の概念を挙げている。

カーネマン氏の理論によれば、人間の脳は次の2つのシステムを使い分けて意思決定を行っている。

• システム1（ファスト：速い思考）：無意識かつ高速に作動し、直感的にパターンを認識する。人間の全認知の95%を占めており、生き残るための日常的な処理を自動で実行する。
• システム2（スロー：遅い思考）：論理的で努力を要し、契約書の評価や答えのない難題への対処など、深い判断が必要な場面で起動する。認知全体の5%を占めるが、容量に限界があり、長時間稼働すると疲弊してしまう。

人間の犯す過ちの多くは、この2つのシステムを適切に使い分けられないことによって生じる。熟考すべき問題に直感的なシステム1を適用すれば自信過剰な誤りを招き、自動化すべき日常業務にシステム2を適用すれば脳が疲弊して重要な場面で見逃しが発生する。著者は、現在のSOCのAIアーキテクチャ設計も、これとまったく同じ罠に陥っていると指摘する。

アラートの「98%」と「2%」に見る奇妙な一致

この「95対5」という脳の認知比率は、実際のセキュリティアラートの統計データと驚くほど一致している。2500万件以上の企業向けアラートを分析した調査レポート「2026 AI SOC Report for CISOs」によると、全アラートの98%は人間を介さずに自律的に解決可能であり、実際に人間のレビュー（査読・確認）が必要なのは2%未満にすぎないという。

つまり、優れたパフォーマンスを発揮するSOCとは、人間の脳と同様に、大半のインシデント（セキュリティ上の問題）を「速く自動的に」処理し、本当に必要な一部の案件だけを「遅く慎重な」人間の判断に委ねるアーキテクチャであると言える。

しかし、前述のCISOが構築していたシステムは、脳が一つしかないSOC、すなわち日常のアラート処理という「システム1」のタスクに、アナリストという「システム2」の脳を無理やり適用するものだった。これではアナリストが疲弊し、結果として一部のアラートしか処理できなくなるのは必然である。

アナリストの疲弊と「埋もれる脅威」

SOCにおけるアラートの一次対応は、本来「システム1」で片付けるべき領域である。そのファイルは悪意あるものか、ログインの履歴は過去の行動パターンと一致するか、接続元のIPアドレス（ネットワーク上の住所）は過去のクローズ案件に存在するかといった問いは、時間をかけて熟考するものではなく、マシンの速度で24時間365日休まず回答を出すべきものだ。

人間にこの日常的な一次対応を強いると、アナリストの認知能力は枯渇し、処理速度が低下し、やがて選別作業を簡略化したりスキップしたりするようになる。前述の調査レポートによれば、年間45万件のアラートを受信する企業では、低深刻度のアラートの中に約54件の本物の脅威が隠れていると予測されている。これらは通常、キュー（処理待ちの列）の先頭に到達することすらなく、担当者の認知限界によって完全に見逃されてしまう。

自律型AIによる「システム1」の自動化

この問題を解決するために必要なのが、SOCの「システム1」として機能する「自律型AI（Autonomous AI）」である。

自律型AIは、人間の指示を待つことなく、バックグラウンドで常に稼働する。そして、発生するすべてのシグナルに対して、メモリスキャンやファイル分析、さらにはエンドポイント（PCやスマホなどの端末）、アイデンティティ（認証情報）、ネットワーク、クラウドにまたがる相関分析を、フォレンジック（デジタル鑑識）レベルの精度で自動実行する。

この自律型AIが明らかにノイズである大半のケースを自動でクローズし、本当に人間の深い判断が必要な「2%未満」のケースだけを浮き彫りにしてアナリストへと引き継ぐ。これにより、人間はコパイロットなどの支援ツールを使いながら、本来の能力を発揮すべき高度な意思決定に専念できる環境が整うのである。