Greenlight: SOC de IA autónomo resuelve más del 90% de hasta 4.000 casos al mes. Qué significa resuelto

Llega una alerta: un lote de tarjetas de pago vinculadas a clientes de Greenlight ha aparecido en una fuente de la dark web. Hace un año, un analista dedicaba de 15 a 30 minutos a revisarla: comprobaba el estado de las tarjetas, buscaba informes duplicados, revisaba las sesiones de las cuentas y abría tickets. Históricamente, el 73% de las alertas de esa fuente en concreto resultaban ser falsos positivos.

Greenlight Financial, una fintech estadounidense que, según la entrada, opera bajo los mismos requisitos regulatorios que los grandes bancos, ahora delega ese trabajo en un sistema de IA llamado Luna. La empresa informa de que Luna resuelve más del 90% de sus entre 3.000 y 4.000 casos mensuales de seguridad y riesgo sin un analista humano.

Cómo está construido Luna

Luna se ejecuta en Amazon Bedrock AgentCore en dos capas.

1. Entra una alerta
2. Triaje de capa 1
3. Investigación de capa 2
4. Analista humano
5. Aprendizajes del caso

La capa 1 se ocupa del volumen. Un agente supervisor orquesta más de 30 agentes especializados que cubren identidad, endpoints, observabilidad, pagos e inteligencia de amenazas, dentro de una red privada. Solo con la capa 1, el 83% de los casos se cerró sin escalado y el 17% pasó a los analistas.

La capa 2 asume el 10% aproximado de los casos que quedan por debajo del umbral de confianza de la capa 1. Usa un modelo con razonamiento extendido, se ejecuta según una programación o bajo demanda y combina de tres a cinco fuentes de datos por caso. Con ambas capas y el bucle de aprendizajes, los escalados cayeron por debajo del 10%.

La memoria mantiene una ventana móvil de 30 días de casos recientes y un almacén a largo plazo de preferencias y plantillas de resolución. Un pipeline independiente captura cómo se resolvió cada caso y lo devuelve al sistema.

Los resultados reportados: la mediana del tiempo de triaje de los casos rutinarios bajó de 15 a 30 minutos a segundos de un solo dígito, y Greenlight estima entre 900 y 1.800 horas de analista evitadas al mes. Greenlight amplió Luna de seguridad al triaje de riesgo financiero en dos meses.

Qué significa «resuelto» aquí

La cifra es impresionante, y conviene leerla con precisión. La entrada deja claro que Luna hace triaje y recomienda. No ejecuta acciones de remediación por su cuenta; la remediación la realiza una persona o una política automatizada aprobada de antemano.

Así que «resuelto de forma autónoma» significa que la investigación llegó a una conclusión sin un analista: un falso positivo cerrado, un duplicado fusionado, un problema real documentado y derivado. Ahí es exactamente donde encaja la autonomía en un SOC. El triaje tiene mucho volumen, es en su mayoría reversible y fácil de auditar después. La contención y la remediación, como bloquear una tarjeta o bloquear una cuenta, afectan a los clientes y necesitan una decisión de la que alguien se responsabilice.

Es el patrón que llamamos autonomía acotada en el SOC agéntico, con cifras reales.

Qué pueden copiar otros equipos de seguridad

Escalar por confianza, no por categoría. La capa 2 se activa por la incertidumbre de la capa 1, no por el tipo de alerta. Así los casos fáciles salen baratos y el modelo caro solo recibe los difíciles.

Medir primero la economía de los falsos positivos. Una fuente con una tasa del 73% de falsos positivos es el punto de partida ideal: mucho volumen, poco riesgo y ganancias medibles.

Tratar el bucle de aprendizajes como una superficie de control. Las resoluciones que se devuelven a los supervisores cambian el comportamiento futuro. Alguien debería revisar lo que se está aprendiendo, igual que un jefe de equipo revisa los cierres de un analista junior, o un patrón equivocado se repetirá a la velocidad de la máquina.

Mantener la remediación detrás de una política. La línea de Greenlight entre recomendar y actuar es lo que hace aceptable una tasa de autonomía del 90% para una empresa regulada. Hay que mantenerla explícita.