La arquitectura de IA dual: Por qué los modelos generales son herramientas pero la autonomía del SOC es infraestructura

La velocidad de adopción de la IA en la ciberseguridad ha creado una brecha estratégica significativa entre quienes ven la IA como un chatbot y quienes la ven como una arquitectura. Anteriormente, los líderes de seguridad evaluaban los Modelos de Lenguaje Extensos (LLM) basándose en su capacidad para responder preguntas o escribir scripts. Ahora, la realidad operativa es que las plataformas de IA de propósito general como Claude y Cursor son distintas de la infraestructura especializada necesaria para gestionar un Centro de Operaciones de Seguridad (SOC) de alto volumen.

Los equipos de seguridad se enfrentan a un entorno de amenazas donde los atacantes utilizan la IA para automatizar las fases de reconocimiento y explotación de la cadena de ataque (kill chain). El modelo de amenazas tradicional, que depende de la velocidad humana para interceptar ataques a velocidad de máquina, está fundamentalmente roto. Para abordar esto, las organizaciones deben ir más allá de la integración básica de asistentes de IA y establecer una arquitectura de inteligencia por niveles que separe el triaje autónomo de alto volumen de la cognición humana de alto valor.

La separación entre cognición y volumen

Las operaciones de seguridad modernas funcionan a través de tres capas distintas. En la capa base, las herramientas de seguridad existentes como EDR, SIEM y plataformas de identidad en la nube generan telemetría y alertas en bruto. Esta capa es la fuente principal de datos, pero carece de la capacidad de razonamiento para distinguir entre un ataque complejo y un script administrativo mal configurado.

En el medio se encuentra la capa del SOC de IA autónomo. Esta no es una interfaz de chatbot. Es un sistema de agentes que investiga continuamente cada alerta, correlaciona evidencia a través de herramientas inconexas y aplica el contexto organizacional para determinar el riesgo. Esta capa reduce el ruido al resolver alertas benignas sin intervención humana.

En la parte superior está la capa cognitiva, donde operan plataformas como Claude, Codex y Cursor. Este es el espacio interactivo donde los analistas senior y los responsables de respuesta a incidentes colaboran con modelos de frontera para resolver problemas especializados. El uso de estos modelos en la capa superior es efectivo porque están diseñados para el razonamiento, no para la ingesta repetitiva de miles de flujos de telemetría. Cada capa tiene un trabajo específico, y confundir la capa cognitiva con la capa autónoma conduce a la ineficiencia operativa.

La tokenómica del razonamiento de seguridad

La arquitectura es a menudo un subproducto de la economía. Cada interacción con un modelo de lenguaje extenso incurre en un coste, medido típicamente en tokens. Una sola investigación de seguridad no es un simple mensaje de texto. Requiere la ingesta de telemetría de endpoints, árboles de procesos, registros de autenticación y fuentes de inteligencia de amenazas. Este contexto puede consumir rápidamente miles de tokens por incidente.

Anteriormente, las organizaciones asumían que una sola licencia de IA podría resolver cada necesidad de investigación. Ahora, las matemáticas revelan que usar un LLM de propósito general para investigar cada alerta informativa es una imposibilidad financiera. Si un SOC recibe 5.000 alertas al día y envía cada una a un modelo de frontera para un análisis forense completo, los costes anuales de API superarán el presupuesto de todo el departamento de seguridad.

Las plataformas de SOC de IA autónomo resuelven esto utilizando contexto en caché y razonamiento selectivo. No tratan cada alerta como una conversación nueva con un modelo costoso. En su lugar, utilizan flujos de trabajo deterministas para la recopilación rutinaria de datos y recurren a los LLM solo cuando se requiere una tarea de razonamiento específica. Este enfoque arquitectónico hace posible investigar el 100% de las alertas manteniendo los costes predecibles. Usar Claude para investigar cada registro benigno es como usar un láser quirúrgico para talar un bosque; la herramienta es precisa, pero la aplicación es un desajuste arquitectónico.

La gravedad de los datos y el punto de fricción del MDR

Muchas empresas confían en proveedores de Detección y Respuesta Gestionada (MDR) para gestionar su monitoreo de seguridad. Esto crea una asimetría en el acceso a los datos. El proveedor de MDR suele ser el propietario del flujo de trabajo de investigación y de la telemetría enriquecida. El cliente solo ve el incidente final escalado, lo que limita la efectividad de las plataformas de IA internas.

Si un analista intenta usar Claude para investigar una alerta, a menudo carece de los datos brutos necesarios para proporcionar al modelo el contexto suficiente. El LLM no puede razonar sobre datos que no puede ver. Por esta razón, una capa local de SOC de IA autónomo se está convirtiendo en un componente crítico de la infraestructura empresarial. Se sitúa junto a las herramientas de seguridad, captura el historial de investigación y construye una base de conocimientos local.

Esta arquitectura permite que la organización retenga el conocimiento institucional en lugar de dejarlo dentro de un portal de MDR de terceros. Garantiza que cuando un analista senior utilice una herramienta como Claude, la evidencia necesaria ya esté estructurada y lista para el análisis. La capa autónoma actúa como el puente entre los registros brutos y dispersos y el trabajo cognitivo de alto nivel.

El riesgo oculto de las alertas informativas

La mayoría de los SOC ignoran las alertas de baja severidad porque carecen de la capacidad humana para revisarlas. Esta priorización es una necesidad en un modelo centrado en el humano, pero también es una vulnerabilidad sistémica. El análisis de 25 millones de alertas en 2025 indicó que aproximadamente el 1% de los incidentes de seguridad confirmados comenzaron como registros de baja severidad o informativos.

Los atacantes suelen utilizar técnicas de movimiento lateral sigilosas que no activan alarmas de alta severidad. Un solo inicio de sesión fallido o un comando de PowerShell sospechoso pero no malicioso es fácil de pasar por alto. Un SOC de IA autónomo cambia la ecuación al proporcionar la capacidad de investigarlo todo. Debido a que la máquina no se cansa y el coste por investigación se minimiza a través de una arquitectura especializada, la "severidad" de una alerta ya no dicta si recibe atención. Cada alerta se investiga, y solo las amenazas genuinas llegan a la capa cognitiva humana.

Dónde ofrecen los modelos de frontera el mayor ROI

Cuando la capa autónoma se encarga del triaje repetitivo, las plataformas de IA como Claude se vuelven significativamente más potentes. Los analistas ya no las usan para la recopilación básica de datos. En su lugar, se centran en el trabajo estratégico de alto impacto.

Para mayor claridad, la capa cognitiva se utiliza mejor para:

• Desarrollar y probar nueva lógica de detección basada en inteligencia de amenazas emergentes.
• Realizar análisis forenses profundos en incidentes complejos de múltiples etapas.
• Resumir investigaciones técnicas para el liderazgo ejecutivo y organismos reguladores.
• Cazar amenazas (threat hunting) mediante la generación de consultas complejas a través de múltiples lagos de datos.
• Traducir reglas de detección heredadas a lenguajes de consulta modernos como Sigma o KQL.

En este modelo, el humano y el LLM trabajan juntos en los problemas que requieren matices y juicio. El sistema autónomo garantiza que su tiempo nunca se pierda en el 99% de las alertas que son benignas.

Plan de acción: Construcción de una arquitectura de IA por niveles

Para pasar del "miedo a quedarse fuera" (FOMO) de la IA a una defensa resiliente, los CISO deben seguir esta hoja de ruta de 6 a 12 meses para reestructurar sus operaciones de seguridad.

1. Auditar el flujo de telemetría (Mes 1-2): Mapear todas las fuentes de datos e identificar dónde se almacena la telemetría. Determinar si su proveedor de MDR permite el acceso por API en tiempo real a los registros brutos y artefactos de investigación.
2. Nivelar el gasto en IA (Mes 3-4): Separar el presupuesto para herramientas cognitivas (Claude, Cursor) del presupuesto para infraestructura autónoma. No intente forzar a una sola herramienta a realizar ambos trabajos.
3. Implementar una capa de triaje autónomo (Mes 5-8): Desplegar un sistema que pueda automatizar el proceso de recopilación forense. Centrarse primero en reducir el tiempo de triaje para alertas de baja severidad para probar el concepto.
4. Codificar el contexto organizacional (Mes 9-10): Construir un repositorio de documentación interna, mapas de red y archivos de políticas que el sistema autónomo pueda usar para distinguir entre la actividad de administración autorizada y el comportamiento del atacante.
5. Refinar el flujo de trabajo del analista (Mes 11-12): Orientar a los analistas de Nivel 1 y Nivel 2 hacia la ingeniería de detección y la caza de amenazas. Usar plataformas de IA cognitiva para apoyar esta transición automatizando la redacción de nuevas reglas e informes.

El objetivo de esta arquitectura no es eliminar a los humanos del SOC. Es garantizar que un compromiso no se convierta en una catástrofe porque un humano estaba demasiado ocupado triando ruido para ver la señal. La supervivencia en el entorno de amenazas actual depende de la arquitectura y la velocidad, no solo de mejores herramientas.

Fuentes:

• CISA (Cybersecurity and Infrastructure Security Agency) - Guidelines on AI Security and Triage.
• NIST (National Institute of Standards and Technology) - AI Risk Management Framework 1.0.
• Anthropic - Claude Enterprise and API Documentation.
• Internal analysis of telemetry trends and tokenomics in enterprise security operations (2025-2026).

Descargo de responsabilidad: Este artículo tiene fines informativos y educativos únicamente y no sustituye a una auditoría de ciberseguridad profesional o un servicio de respuesta a incidentes.