SentinelOne: AI-gestuurde opsporing signaleert inmiddels 28 klantintrusies per dag, een stijging van 2.200% op jaarbasis, terwijl cybervaardigheid van frontier-modellen elke 4 maanden verdubbelt
OneCon 2026-virevenement, Las Vegas, 20 oktober 2026
SentinelOne greep de openingsavond van de OneCon-klantenconferentie aan om cijfers te plakken op zijn AI-gestuurde threat hunting-programma, dat tijdens het evenement van vorig jaar werd gelanceerd. Chief Customer Officer Steven Stone presenteerde de cijfers als een verantwoording achteraf en keek terug op wat het bedrijf een jaar geleden op het podium beloofde. De belangrijkste product- en strategiestrategieaankondigingen staan gepland voor 21 oktober, wanneer productleiders en CEO Tomer Weingarten het woord nemen. De sessie van vanavond was compacter en de onthullingen waren operationeel in plaats van financieel. Toch bieden ze beleggers een zeldzaam kwantitatief inzicht in hoe de nieuwste AI-functionaliteit van SentinelOne presteert in productie.
AI-gestuurde opsporing schaalt snel, zij het vanaf een kleine basis
Het centrale datapunt is dat AI-gestuurde opsporing – die op 1 december 2025 live ging – klanten inmiddels 28 keer per dag waarschuwt voor intrusieactiviteiten. Volgens Stone steeg het vermogen van het bedrijf om schadelijke activiteiten op te sporen met deze methode in het eerste kwartaal met 380%, na zes maanden met 1.400% en over het hele jaar met 2.200%. Hij was er open over dat de vroege cijfers een beperkt gewicht in de schaal leggen. "Iedereen die iets heeft gebouwd, weet dat je bij je eerste iteratie van niets naar iets gaat," zei hij. "Dat is niet echt een zinvol getal." Die 28 dagelijkse meldingen is volgens hem het cijfer dat ertoe doet voor klanten.
Stone deelde tevens mee dat SentinelOne het afgelopen kalenderjaar meer dan 14 miljoen 'true positive'-detecties identificeerde voor klanten, een stijging van 50%. Dat zette hij af tegen een groei van ongeveer 16% van het aantal endpoints per organisatie, wat volgens hem overeenkomt met het eigen geïnstalleerde bestand van SentinelOne. Het detectievolume groeit daardoor ongeveer drie keer sneller dan het te beschermen aanvalsoppervlak. Hij schreef dit toe aan de autonome modellen van het bedrijf. Hij merkte op dat het eerste patent van SentinelOne, ingediend in 2014, betrekking had op een autonoom malware-detectiemodel, en betoogde dat deze geschiedenis het bedrijf een voorsprong geeft terwijl anderen worstelen om de stap naar AI te zetten. Het bedrijf verstrekte geen gegevens over omzet, marges of adoptiepercentages ('attach-rates') die gekoppeld zijn aan deze functionaliteiten, waardoor het openstaat hoe de technische vooruitgang zich vertaalt in financiële resultaten.
React2Shell: een stresstest binnen 48 uur na de lancering, met een openlijk erkend Windows-hiaat
Stone omschreef de React2Shell-kwetsbaarheid als de eerste echte test van de nieuwe opsporingsengine. De kwetsbaarheid, die op 3 december werd onthuld met een CVSS-score van 10.0, maakte compromittering mogelijk via één enkel opgesteld HTTP-verzoek zonder authenticatie of gebruikersactie. SentinelOne lanceerde de AI-gestuurde opsporing twee dagen voor de openbaarmaking. Stone zei dat het bedrijf de eerste React2Shell-activiteit bij een klant waarnam op 9 december, en dat AI-gestuurde opsporing het eerste mechanisme was om dit te signaleren. De opsporingsengine was gebouwd om de algemene vorm van web-exploitatie te herkennen.
Stone was ongebruikelijk direct over zwakke punten. "We wisten dat we vroeg sterke dekking hadden in Linux en Mac, maar we hadden echte uitdagingen op Windows," zei hij, eraan toevoegend dat het bedrijf "zwakheden had die we moesten dekken." Hij stipte ook een punt aan dat beleggers die het debat tussen AI en mensen afwegen serieus moeten nemen. De eerste waarschuwing leek op routinematige penetratietesten, en het was een menselijke hunter met jarenlange pentest-ervaring die oordeelde dat er iets niet klopte. "We roepen graag dat we technologische antwoorden hebben, dat alles universeel is en door machines wordt aangedreven. Zo zijn we hier niet mee begonnen," zei hij. "We hadden een expert die al jaren naar pentests keek, en die expert kon zeggen: ik weet gewoon dat dit niet klopt."
React2Shell
Stone legde uit waarom dit type detectie wordt ingezet als opsporing in plaats van als productiedetectie. Een tool die de brede vorm van web-exploitatie herkent, zou naar zijn woorden "ontploffen" op endpoints en "onze klanten begraven onder meldingen". Bevindingen uit opsporingsactiviteiten worden verfijnd en vervolgens omgezet in detecties van productieniveau, wat op zijn beurt de opsporingslaag ontlast om nieuwe activiteiten na te jagen. In de eerste 30 dagen identificeerde SentinelOne 8 pogingen tot slachtoffermaak onder zijn klanten, variërend van domeinverkenning – wat volgens Stone bedoeld leek te zijn om te leiden tot diepere intrusies – tot cryptomining. Uit eigen onderzoek van SentinelOne bleek dat minstens 7 significante dreigingsgroepen de kwetsbaarheid in de eerste week misbruikten. Stone haalde een rapport van AWS aan over een in China gevestigde groep binnen ongeveer 12 uur, en merkte op dat de toevoeging van de kwetsbaarheid door CISA aan diens lijst van bekende geëxploiteerde kwetsbaarheden 36 uur na de eerste exploitatie plaatsvond.
SectopRAT toont de minder glamoureuze toepassing
Het derde voorbeeld was bewust alledaags. SectopRAT, een browser-sessie- en cryptowallet-dief die SentinelOne al 7 jaar volgt, verschijnt om de paar maanden in een nieuwe verpakkingsomslang. De meest recente omslag vermomde zich als een nep-installatieprogramma voor Claude Desktop. Stone gaf aan dat AI-gestuurde opsporing hier niet de kernmethode voor detectie was. Het diende als kwaliteitscontrolelaag om te controleren of statische regels, gedragsdetecties en de ongeveer 50 bekende command-and-control-indicatoren nog steeds varianten vingen. Het bedrijf bouwde daarnaast een hunting-pakket voor DLL side-loading dat zich richtte op het gedrag in plaats van op de specifieke malware. Dit suggereert dat de nabije waarde van de technologie net zo goed ligt in het handhaven van de dekking als in het ontdekken van nieuwe dreigingen.
Dreigingsachtergrond: offensieve AI-capaciteit verdrievoudigd, aanvallers handelen op machinesnelheid
Stone haalde een ongeveer drie maanden geleden gepubliceerd Britse overheidsrapport aan waarin staat dat frontier-modellen hun offensieve cybercapaciteit elke 4 maanden verdubbelen. Volgens zijn berekening is die capaciteit verdrievoudigd sinds de vorige OneCon. Hij stelde dat het gebruik van AI door aanvallers geen voorspelling meer is. "Dat is niet volgend jaar, dat is vorig jaar," zei hij, waarbij hij wees op het gebruik door individuen, kleine groepen en overheden.
Hij nam stelling tegen de opvatting dat door AI gedreven kwetsbaarheidsontdekking het grootste probleem is. "Het vinden van kwetsbaarheden is nooit de flessenhals van de aanvallers geweest," zei hij, waarbij hij inschatte dat verdedigers 20 jaar geleden "meerdere" kwetsbaarheden en exploits achterliepen, twee jaar geleden 100 en inmiddels 1.000. De grotere verschuiving is volgens hem dat "we voor het eerst letterlijk zien dat aanvallers zich op machinesnelheid bewegen." Hij bood een genuanceerd pluspunt: door AI gedreven aanvallen zijn mogelijk makkelijker te ontdekken omdat agenten minder gedisciplineerd zijn in ontwijking en prompts aanvallers dwingen om "letterlijk op te schrijven wat ze willen doen."
Claim rond het voordeel voor de verdediger en de implicaties voor het platform
Stone opperde dat dit "de eerste technologie is waarvan ik daadwerkelijk denk dat verdedigers er meer voordeel uit halen dan aanvallers", al benadrukte hij dat tools op zichzelf niet volstaan zonder experts. Die kaders vormen de basis voor de pitch van SentinelOne rond zijn gelanceerde dreigingsdiensten, het Wayfinder-aanbod, Purple AI en agent-gestuurde onderzoeken. Stone zei dat agenten taken kunnen krijgen toebedeeld als personeelsleden, die rond de klok draaien en analisten ontlasten van routinematig werk. De bewering is plausibel en sluit aan bij de cijfers van het bedrijf, maar het blijft het standpunt van een topman bij een leverancier die de oplossing verkoopt. Opvallend is dat de sessie geen onafhankelijke benchmarks, geen fout-positievenpercentages voor de opsporingsengine en geen economische gegevens op klantniveau bevatte. Beleggers zullen voor bewijs dat deze operationele winst de duurzame groei in de platformactiviteiten kan aanjagen, kijken naar de productroadmap van morgen en de opmerkingen van Weingarten.