Sophos resuelve la mitad de sus casos de MDR con IA. El modo que elige el cliente limita a los agentes

Son las dos de la madrugada y salta una detección en el servidor de un cliente. ¿Quién puede aislar esa máquina: el equipo del propio cliente, un analista del proveedor de seguridad o un agente que trabaja para ese proveedor?

En Sophos, la respuesta estaba decidida antes de que existiera ningún agente, y por eso sus agentes pudieron ponerse a trabajar rápido.

OpenAI publicó el caso el 9 de octubre. Sophos opera Fusion, su sistema de defensa nativo de IA que incluye el servicio de Managed Detection and Response, sobre datos de sensores de más de 500 integraciones de terceros y de sus propios productos. Esos sensores generan billones de eventos al día, que Sophos condensa en entre 1.000 y 2.000 casos para sus nueve centros de operaciones de seguridad.

El modelo operativo antes de los agentes

Investigar y responder a un caso dependía sobre todo de la experiencia humana y llevaba de media unos 38 minutos, una cifra que el CTO John Peterson sitúa por encima del 96% de los SOC profesionales. La limitación no era la calidad. Era la escasez de analistas frente a un volumen creciente.

La arquitectura actual

Los agentes creados con el programa Daybreak de OpenAI cambiaron el recorrido de los casos. Un agente de investigación reúne el contexto del cliente, las detecciones, los indicadores de compromiso y la inteligencia de amenazas pertinente para cada caso. Un modelo de planificación ejecuta un ciclo de planificar, ejecutar y revisar: elabora un plan de investigación, completa los pasos y produce un resumen con acciones de respuesta recomendadas para que los analistas las revisen. Otros agentes pueden ejecutar partes de la respuesta.

Sophos informa que el tiempo medio de respuesta de los casos que usan estos agentes bajó a unos 89 segundos, y que el 52% de los casos de MDR se resuelven de principio a fin con IA, “dentro de límites calibrados por los analistas de Sophos”. Son cifras de Sophos sobre sus propias cargas, publicadas en un caso de cliente del proveedor.

El límite ya estaba en el contrato

El servicio de MDR de Sophos tiene tres modos de operación, que elige el cliente:

Quién actúa en un caso, según elija el cliente

Actúa el clienteActúa Sophos

1. NotifySophos investiga y recomienda; el cliente actúa
2. CollaborateSophos y el cliente acuerdan antes de actuar
3. AuthoriseSophos responde directamente en nombre del cliente

La frase clave del caso es esta: “Los mismos límites se aplican tanto si el trabajo lo realiza una persona como un agente.” Un agente que trabaja en un caso de un cliente en modo Notify puede investigar y recomendar; no puede actuar, porque un analista de Sophos tampoco podría. Las acciones potencialmente destructivas siguen requiriendo el nivel adecuado de supervisión humana y, en palabras de Peterson, “todo lo que no nos parece cómodo dejar en manos de un agente pasa al juicio humano”.

Por eso el 52% de principio a fin es una cifra significativa y no alarmante. Los agentes no recibieron una nueva concesión de autoridad. Heredaron una que ya existía, definida en un contrato de servicio que los clientes ya habían aceptado y dentro del cual los analistas ya trabajaban.

Qué se traslada a otros equipos de operaciones

El patrón que vimos en el SOC agéntico de Exabeam y en los agentes de bases de datos de Cornerstone se repite aquí a mayor escala: los agentes llegan antes a producción donde el límite de actuación se definió antes de que llegaran.

La mayoría de los equipos internos de operaciones no tiene ese límite por escrito. Quién puede reiniciar un servicio en producción, revocar las sesiones de un usuario o poner en cuarentena un buzón suele depender de la costumbre y la antigüedad. Antes de que un agente pueda actuar sobre esas cosas, la autoridad tiene que existir como regla, delimitada por sistema y por la elección del responsable de negocio, igual que Sophos la delimita por cliente.

De ahí se desprenden tres pasos prácticos:

• Escriba primero los modos. Para cada clase de respuesta, decida quién puede actuar y con qué acuerdo, con independencia de que el trabajo lo haga una persona o un agente.
• Deje que el responsable del sistema elija el modo, como hacen los clientes de Sophos, en lugar de que el equipo de operaciones fije su propio techo.
• Mida la automatización dentro del modo. “La mitad de los casos resueltos de principio a fin” solo tiene sentido junto al límite dentro del cual se resolvieron, que es también como se gana la autonomía: por clase de acción y con evidencia.

El consejo final de Peterson a los líderes de seguridad ni siquiera trataba de IA: aplicar parches, usar autenticación multifactor, segmentar redes y mantener operaciones sólidas. Los agentes hacen más rápida a Sophos. Los límites que construyó mucho antes son lo que hace segura esa rapidez.