AI Decision Models and Their Impact on AI SOC Platforms
The Hacker News · 16 oct, 13:30
Los modelos de decisión de IA, una categoría emergente lanzada por TypeSafe AI, OpenAI y otros a mediados de 2026, están transformando la triage de alertas en SOCs al proporcionar veredictos probabilísticos calibrados en lugar de texto generado. Aunque prometen automatizar decisiones con umbrales configurables y costos bajos (alrededor de 100 dólares anuales para 450.000 alertas), el artículo advierte que la calibración es solo una promesa sobre distribuciones: un modelo bien entrenado puede fallar sistemáticamente si los datos de entrada (títulos de alertas, campos de severidad) no reflejan la realidad del endpoint, como cuando el 51 % de máquinas infectadas ya se reportan como mitigadas por el EDR.
Los modelos de decisión ofrecen tres ventajas claras para la seguridad. Primero, devuelven una probabilidad que se puede automatizar: cerrar automáticamente alertas por encima de 0,97, escalar por debajo de 0,6, y revisar manualmente las intermedias. Segundo, su costo es manejable: Jev cuesta 42 dólares por mil millones de tokens de entrada con respuestas en 70-500 milisegundos, lo que elimina el argumento económico para filtrar solo alertas de alta severidad. Tercero, cada veredicto es auditable y reproducible, a diferencia de párrafos de razonamiento generado.
Pero la calibración es solo una promesa sobre distribuciones de datos. El artículo analiza datos de 25 millones de alertas de 2025 para ilustrar el problema: cuando el 82 % de máquinas reportadas como "mitigadas" por el EDR tenían infecciones activas en escaneos de memoria, un modelo perfectamente calibrado cerraba esas alertas con confianza porque la mayoría de alertas con ese patrón (malware detectado, amenaza en cuarentena, severidad baja) son realmente benignas. El 1 % de incidentes reales provenía de alertas de severidad mínima. El artículo propone "Security Context Engineering": convertir una alerta en hechos forenses antes de que cualquiera (humano o modelo) decida. Incluye proceso padre completo, comportamiento al detonarse, escaneos de memoria activa y contexto de identidad. Los datos de 2025 muestran que el 74 % de alertas de identidad se clasificaban como benignas, mientras que las alertas de viaje imposible confirmaban compromisos reales solo el 2 % del tiempo.
Puntos clave
- Los modelos de decisión devuelven probabilidades calibradas en lugar de texto, permitiendo automatización con umbrales ajustables
- Jev cuesta aproximadamente 100 dólares anuales para 450.000 alertas, eliminando barreras económicas para analizar cada alerta
- El 51 % de máquinas infectadas ya estaban reportadas como mitigadas por EDR, mostrando cómo datos de entrada deficientes producen fallos sistemáticos
- El 74 % de alertas de identidad en datos de 2025 eran benignas; los viajes imposibles confirmaban compromiso real solo el 2 % del tiempo
- La calibración requiere conocimiento del contexto empresarial normal (quién accede desde dónde, cuándo se ejecutan scripts) que suele residir en analistas senior