Hace unos días, estaba sentado con un CISO en una empresa Fortune 50 explicándole cómo pensaba su equipo de seguridad sobre los agentes de IA en el SOC. Equipo inteligente. Un programa serio. Ya habían conectado a Claude con algunas herramientas de descubrimiento y sabían que ciertas investigaciones tenían un valor real. Pero mientras planificaba la arquitectura más amplia, algo seguía molestándome. Se suponía que el diseño que estaban construyendo funcionaría de manera brillante para la pequeña cantidad de alertas que realmente requerían un profundo juicio humano. Iba a ignorar el resto por completo.
En el vuelo de regreso a casa, tomé un libro que no había tocado en años. El pensamiento de Daniel Kahneman, rápido y lento. Kahneman es una de esas pocas personas que realmente cambió la forma en que entendemos la toma de decisiones humana. Pasó su carrera como psicólogo estudiando cómo piensa realmente la gente, en lugar de cómo los economistas suponen que piensan. En 2002 recibió el Premio Nobel de Economía, un testimonio de hasta qué punto ha llegado su investigación más allá de su punto de partida.
El argumento central de este libro es que la mente humana no es una sola cosa. Se trata de dos sistemas que funcionan en paralelo y, a menudo, en tensión.
El sistema 1 es el cerebro automático. Reconoce patrones instantáneamente, lee una habitación en segundos y te mantiene con vida sin ningún esfuerzo consciente. Es rápido, asociativo e inconsciente. Según la investigación de Kahneman, el 95% de la cognición humana tiene lugar aquí, ejecutándose silenciosamente en segundo plano como un sistema operativo invisible.
El sistema 2 es el cerebro que se ocupa de las cosas difíciles. Evalúe contratos, aborde preguntas sin respuestas obvias y tome decisiones bajo presión. Es lento, lógico, requiere esfuerzo y ocupa el otro 5% de nuestro pensamiento. Puede anular el sistema 1 si es incorrecto. Sin embargo, existe un límite de capacidad. No puede funcionar a máxima potencia todo el día. Cuando el Sistema 1 se agota, el Sistema 1 se hace cargo de todos modos.
La idea central de Kahneman es que ningún sistema es mejor. Es decir, los errores que cometen los humanos casi siempre son el resultado de aplicar el sistema equivocado al trabajo equivocado. Aplicar el pensamiento intencional a cosas que deberían suceder automáticamente hace que las personas se agoten y aun así se pierdan cosas. Aplicar el pensamiento automático a algo que realmente requiere pensamiento conduce a errores de confianza.
Aterricé, abrí mi computadora portátil y me escribí una oración. «Este es exactamente el problema con la forma en que la mayoría de los equipos de seguridad diseñan actualmente su arquitectura de IA».
los números no son una coincidencia
Según Kahneman, los humanos realizan el 95% de su cognición en el Sistema 1 y el 5% en el Sistema 2. Un estudio basado en el análisis de más de 25 millones de alertas empresariales encontró que el 98% de las alertas se pueden resolver de forma autónoma, y menos del 2% realmente requiere revisión humana.
Esto es casi lo mismo que el ratio de Kahneman. Los SOC de alto rendimiento no son un invento nuevo. Se trata de una arquitectura que refleja cómo funcionan realmente las mejores decisiones. La abrumadora mayoría de las entradas se procesa de forma automática y rápida, y el juicio humano deliberado sólo se asigna a las pocas partes que son realmente necesarias.
El CISO con el que estaba sentado estaba construyendo un SOC con un solo cerebro. Su equipo le pedía al Sistema 2 que hiciera el trabajo del Sistema 1, y luego le pedía nuevamente al Sistema 2 que hiciera lo que realmente hacía bien con la energía que le sobraba. No es de extrañar que sólo cubrieran una pequeña parte de la alerta. No es de extrañar que los analistas estuvieran agotados. No es de extrañar que nunca se encontrara la verdadera amenaza escondida en la pila de baja gravedad. Según un estudio de más de 25 millones de alertas, una empresa que emite 450.000 alertas al año puede esperar encontrar 54 amenazas reales ocultas entre esas alertas, alertas que parecen ruido y alertas que nunca llegan al principio de la cola.
Cerebro SOC rápido para el 98% de las alertas
La mayoría de la clasificación de alertas SOC son problemas del Sistema 1. ¿Se sabe que este archivo es malicioso? ¿Este inicio de sesión coincide con el comportamiento anterior? ¿Esta IP ha aparecido alguna vez en un caso que ya ha sido resuelto? Éstas no son preguntas que requieran una larga consideración. Necesitan respuestas a cada alerta las 24 horas del día, a la velocidad de una máquina.
Cuando los analistas humanos se ven obligados a hacer esto, sucede lo mismo que si se les obligara a realizar tareas del Sistema 2 durante todo el día. Se ralentiza, simplifica y, finalmente, empieza a saltar. Sólo clasifican lo que consideran urgente. Las 54 amenazas ocultas en la pila de baja gravedad permanecen ocultas no porque alguien decida ignorarlas, sino porque detrás de ellas hay 4.000 alertas que han agotado la capacidad cognitiva del equipo.
El cerebro autónomo del SOC debe funcionar como el Sistema 1. Continuamente, sin que se le solicite, por debajo del umbral de la atención humana. Aplique una investigación en profundidad a nivel forense al 100% de sus señales. Correlación de señales cruzadas entre escaneos de memoria, análisis de archivos, puntos finales, identidades, redes y nubes. Los casos que claramente son ruido se resolverán, y los casos que realmente requieren intervención humana surgirán con toda la evidencia ya existente. No pedimos permiso. Produce un veredicto.
Esto es de lo que es capaz un AI SOC. Lo examina todo, emite un veredicto con un 98% de precisión en menos de dos minutos y entrega el 2% que realmente debería ser atendido a un equipo humano.
Cerebro con SOC lento en el 2% de las alertas
El Sistema 2 es donde Claude, Codex y Cursor pertenecen al SOC. No es porque sean lentos, sino porque el trabajo para el que son más adecuados es verdaderamente intencional. Análisis de casos complejos. Ingeniería de reglas de detección. Informe de incidente. Búsqueda de amenazas basada en informes de la industria. Tareas que requieren integración, juicio y la capacidad de combinar resultados forenses con el contexto empresarial exclusivo del analista.
El encuadre del copiloto con IA tiene sentido aquí, pero solo si no se requiere que el copiloto también administre la pista. Cuando un agente de Claude recibe un caso escalado, no debe comenzar con una alerta sin formato. Debe comenzar con una investigación completamente ensamblada, con todos los análisis forenses completados, las señales relevantes correlacionadas y las respuestas recomendadas redactadas. Los analistas aplican su juicio a casos respaldados por evidencia cuidadosamente seleccionada. No han verificado si vale la pena considerar la alerta. En realidad, realizan trabajos que requieren la mente humana.
Cuando el Sistema 2 recibe dicha información, algo cambia. Lo que solía ser una tarde de ida y vuelta entre consolas se convierte en interacciones breves y centradas. El analista deja de procesar la cola y comienza el trabajo solicitado. Aquí es donde no creo que el mercado lo entienda del todo todavía. Cada decisión tomada por el cerebro lento se retroalimenta al cerebro rápido. Cada regla de ajuste escrita en Claude, cada caso cerrado en un nuevo contexto aumenta la precisión de la capa autónoma para el próximo mes. Los dos sistemas son complejos. Se mejoran mutuamente con el tiempo.
Dos modos de falla actualmente en progreso
Kahneman dedicó su carrera a documentar lo que sucede cuando los humanos utilizan el sistema cognitivo incorrecto para resolver un problema. La industria de la seguridad ejecuta ambos modos de falla simultáneamente a escala.
El primero es el clásico. Deje que el analista humano asuma el papel del Sistema 1. La clasificación manual de cientos de alertas al día consume capacidad cognitiva para tareas que deberían automatizarse. El Sistema 2 de tu equipo se agotará antes de que llegues al caso que realmente necesitas. La cobertura se reducirá. Las amenazas pasan desapercibidas. A medida que el equipo crece, el problema aumenta linealmente en lugar de resolverse.
El segundo modo de fallo es el que está creando la actual ola de IA. Implementamos la plataforma Frontier AI directamente sobre datos de detección sin procesar y la llamamos AI SOC. Nuevamente, el Sistema 2 hace el trabajo del Sistema 1, sólo que más rápido y más caro. Los agentes todavía requieren que un humano inicie cada investigación. La eficiencia económica no es posible con la cantidad real de advertencia. Ejecutar el modelo de frontera para todas las alertas al costo actual del token no es viable en producción. El equipo comenzará silenciosamente a saltarse las prioridades más bajas. Las 54 amenazas desatendidas siguen desaparecidas. El problema no se resuelve. Ha sido rebautizado.
Una arquitectura SOC que realmente refleja el cerebro
Los SOC exitosos en 2026 lograrán que ambos sistemas funcionen correctamente.
Un cerebro rápido cubrirá todo automáticamente. No es un modelo de lenguaje de propósito general; está diseñado específicamente para investigaciones forenses a gran escala. No espere indicaciones. Las alertas de gravedad baja no se omiten porque la cola sea larga. Genera una decisión sobre el 100% de la señal y alimenta un caso completamente ensamblado al cerebro lento.
Un cerebro lento opera sobre esa base. Claude, Cursor, Codex, etc. reciben casos escalados con todo el contexto adjunto. Los analistas supervisan, no clasifican. Además, dado que ambos cerebros comparten la misma base de conocimientos, cada decisión que se toma en el espacio de trabajo de la IA hace que la capa autónoma sea más inteligente.
Creo que aquí también hay implicaciones estratégicas que el mercado no ha procesado completamente. Las empresas que subcontratan la investigación de alertas a proveedores de MDR no son propietarias de la base de conocimientos que se genera a partir de esa investigación. Las reglas de detección, el historial de casos, la lógica de clasificación y el contexto organizacional se acumulan dentro de la plataforma del proveedor. Si desea conectar Claude o Codex a sus operaciones de seguridad, está intentando ejecutar el Sistema 2 en una infraestructura que no es de su propiedad. Un cerebro lento no tiene nada que hacer.
La realización de investigaciones internas no sólo está determinada por el costo y el alcance. Es un requisito previo para que el analista copiloto resulte realmente útil. Cada alerta investigada, cada caso resuelto y cada regla ajustada se acumula dentro de su propia instancia. Cuanto más rápido el Sistema 1 construye sus cimientos, más fuerte se vuelve el Sistema 2.
La idea de Kahneman fue que los mejores tomadores de decisiones no son aquellos que piensan más rápido o más profundamente. Ellos son quienes saben qué modo se necesita en ese momento y diseñan sus vidas para que cada sistema se aplique al problema adecuado.
El equipo de seguridad que lo haga bien en 2026 no será el que tenga más analistas ni el modelo de lenguaje más potente. Ellos serán quienes diseñaron el SOC, donde el cerebro rápido se encarga de todo lo que hay que hacer y el cerebro lento es libre de hacer lo que se supone que debe hacer.
La IA se ejecuta. Supervisión humana. Y cuando la arquitectura es correcta, supervisarla es la mejor parte del trabajo.
¿Te pareció interesante este artículo? Haga clic aquí para obtener más información.
Nota: Este artículo fue escrito y contribuido profesionalmente por Lital Asher-Dotan, CMO de Intezer.
Source link
