Antes de agentes de IA, Atlassian puso 44 mil millones de eventos en un esquema. Ese es el orden que funciona.

El equipo de seguridad de Atlassian procesa alrededor de 44 mil millones de eventos al día. Antes de poder pensar seriamente en agentes de IA para la caza de amenazas, tenía un problema más básico: dos décadas de crecimiento y adquisiciones lo habían dejado con logs en muchos formatos, cada uno describiendo un usuario, un host o una conexión a su manera. Un agente al que se le pidiera correlacionar un inicio de sesión con una consulta DNS primero tendría que deducir que los dos registros hablaban de la misma persona.

La respuesta de la compañía, descrita en un artículo de Databricks del 15 de octubre coescrito con ingenieros de Atlassian, fue normalizar todo al Open Cybersecurity Schema Framework (OCSF) en un lakehouse de seguridad en Databricks. Los resultados que reporta son sobre costo y velocidad, no IA: una reducción del 80% en el costo de ingesta, más de 500 señales de detección de amenazas en producción sobre un esquema, un aumento del 60% en la productividad de los analistas y consultas hasta un 95% más rápidas, de unos 45 segundos a 2 o 3. Estas cifras son de Atlassian, de su propio estado de datos y punto de partida.

Lo que está construido y lo que se planifica encima

Planificado

• Habilidades de agente reutilizables a partir del trabajo de analistas
• Cacerías de amenazas orquestadas por agentes
• SQL contextual
• Grafos de contexto

Roadmap

Activo: detección y triaje

• 500+ señales de detección
• Alertas agrupadas en campos estándar

Activo: un esquema

• OCSF para toda la telemetría
• Esquema aplicado en código Go tipado
• Mapeo agéntico de nuevos logs, con control

Fuentes

• Autenticación, red, DNS, escáneres
• Formatos de décadas de adquisiciones

Por qué el esquema va primero

El valor de un esquema común no es la elegancia. Es que un campo signifique una cosa en todas partes. En el diseño de Atlassian, un nombre de usuario vive en el mismo campo estandarizado ya sea que el evento provenga de un sistema de autenticación o de un sensor de red, de modo que la agrupación, el enriquecimiento y la correlación pueden basarse en un solo valor.

Eso es exactamente lo que un agente de seguridad necesita y por lo general le falta. El equipo de seguridad de Block mostró esta semana por qué las mejores investigaciones de IA dependen de unir evidencia entre los logs de diferentes productos. Un agente solo puede hacer esa unión de manera confiable si los identificadores coinciden. Sin normalización, el modelo gasta tokens y criterio en reconciliar formatos, y sus errores parecen hallazgos.

Dónde la IA ya ayuda

La pieza agéntica que está activa es modesta e instructiva. Atlassian utiliza un flujo de trabajo agéntico para mapear nuevas fuentes de logs al esquema: los analistas seleccionan logs, y tras una confirmación con control, el flujo de trabajo genera mapeos y código de pipeline, los prueba y los despliega a través de etapas canario y de producción. Los autores dicen que el esquema rígido redujo las alucinaciones y el uso de tokens.

Nótese la dirección. La IA se utiliza primero para construir y mantener el fundamento de datos, bajo una compuerta, con pruebas y despliegue por etapas. Es el tipo de trabajo que describimos cuando dijimos que el primer entregable duradero de un agente suele ser datos más limpios. Las decisiones de ingeniería también importan: el equipo optó por transformar los datos en vuelo e incrusta el esquema en structs de Go, de modo que la salida inválida falla en tiempo de compilación en lugar de a las 3 de la madrugada.

Lo que todavía está en el roadmap

Las capacidades de agente sobre las que la gente querrá leer están listadas como próximos pasos: convertir el uso de campos de los analistas en habilidades de agente reutilizables, orquestación de agentes para cacerías de amenazas, SQL contextual para preguntas como rastrear tráfico de comando y control DNS, y grafos de contexto sobre OCSF. Nada de eso significa que los agentes investiguen 44 mil millones de eventos hoy. Y la adopción de OCSF por sí sola no garantiza una detección precisa ni la resolución de entidades; el artículo describe campos consistentes, no un método de resolución.

La lección para los programas de IA de seguridad

Si su equipo de seguridad está evaluando agentes de IA para el SOC, pregunte qué van a leer antes de preguntar qué van a hacer:

1. ¿Cuántos esquemas describen a un usuario, un dispositivo y una conexión en su telemetría hoy? Cada uno es una reconciliación que el agente intentará, y a veces hará mal.
2. ¿Puede consultar un año de historial en segundos? Los agentes investigan consultando. Las consultas lentas se convierten en investigaciones lentas y costosas.
3. ¿Está gobernado el mapeo de nuevas fuentes? Cada nueva fuente de logs es una oportunidad de romper el esquema del que dependen los agentes.

La secuencia de Atlassian, primero el esquema, segundo las detecciones, tercero los agentes, no es el camino más rápido hacia una demo de IA. Es aquel en el que los agentes, cuando lleguen, tienen algo consistente sobre lo que razonar.