Hace un año planteé un argumento. Este año, lo medimos.
El verano pasado escribí sobre el Pirámide de influencia — la idea de que en un sistema humano-aumentado SOC, No todas las opiniones de los analistas son iguales. Hacer clic en “Falso positivo” es de Nivel 1. Decora la interfaz. Pero “FP porque powershell.exe realiza la automatización de parches en este host” — ese es el Nivel 4. Eso no es etiquetar, es enseñando.
Terminé esa publicación con una frase que creía, pero que aún no podía probar:
El SOC se vuelve más inteligente aprendiendo de su mejor maestro: el analista que sabe cuándo empujar, cuándo anular y cuándo Enseñar al sistema a no cometer el mismo error dos veces.
Optimistas respecto a la visión. Realistas en cuanto a lo que nos llevará a ella. Así que este año hicimos la parte menos glamurosa: creamos el mecanismo que transmite esa retroalimentación de Nivel 4 —la memoria institucional— y luego realizamos el experimento para ver si realmente funciona.
Sí, lo es. Aquí está el recibo.
El mecanismo: retroalimentación que se propaga hacia adelante.
La memoria es el elemento que transforma una corrección puntual en un cambio duradero. Cuando un analista revoca un veredicto con una razón válida, la plataforma conserva ese razonamiento y lo aplica a la siguiente alerta coincidente. No se trata de una regla inflexible que se ejecuta a ciegas, sino de una influencia. La IA lo evalúa; el analista sigue decidiendo. Un pequeño empujón al volante, no una intervención drástica.
La promesa es sencilla: si se le enseña al sistema una vez, no debería repetir el error. La cuestión siempre fue si esto se mantendría al medirlo.
La prueba
No queríamos una demostración. Queríamos una cifra en la que pudiéramos confiar nosotros mismos.
Tomamos 150 alertas reales de un entorno de producción. Para determinar el veredicto correcto , sin basarnos en el sesgo de ningún sistema en particular, contamos con varios revisores de IA independientes y competentes que evaluaron cada alerta a ciegas, y luego contrastamos esos juicios con las etiquetas de un experto en seguridad humano. Esto nos proporcionó una referencia fiable para cada alerta.
Luego encontramos las alertas donde el veredicto de producción original no coincidía con la referencia: ejemplos reales del tipo de error que un analista detecta y corrige. Para cada una, hicimos exactamente lo que su equipo hace a diario: registramos la corrección como conocimiento institucional. Y volvimos a ejecutar el análisis de dos maneras: sin memoria y con memoria , comparando cada resultado con el veredicto de referencia.
El resultado
En esas alertas corregidas, el porcentaje de decisiones que coincidieron con el veredicto correcto pasó de aproximadamente un 13 % sin memoria a aproximadamente un 52 % con memoria.
Aproximadamente cuatro veces más a menudo , una vez que el sistema había aprendido de la retroalimentación.
En pocas palabras: cuando le enseñamos al sistema a identificar un error, era mucho más probable que lo corrigiera la próxima vez que recibiera una alerta similar. La retroalimentación de nivel 4 de esa pirámide no es meramente decorativa; influye de forma tangible en los resultados.
Nota del realista —porque prometí serlo—: estas cifras provienen de pruebas A/B internas realizadas con un conjunto controlado de alertas corregidas, no de una garantía de producción. Todavía estamos validando hasta qué punto el efecto se extiende al tráfico cotidiano general. Pero el mecanismo principal —recibir comentarios y obtener mejores resultados— ya no es una afirmación, sino una medición.
Por qué esto importa en tu SOC
- El ruido que ya habías ignorado deja de volver. Menos falsos positivos repetidos significa que la atención se centra en lo que es realmente nuevo.
- El conocimiento de sus analistas sénior perdura más allá de su propia vida. Su comprensión del entorno se convierte en un conocimiento duradero y estructurado, no en una memoria colectiva que se desvanece al cambiar de personal.
- Se acumula. Cuanto más tiempo trabaje su equipo con el sistema, más se adaptará a su entorno específico. Esa es una ventaja competitiva que se fortalece con el uso.
- Los proveedores de servicios de seguridad gestionados (MSSP) lo obtienen por cliente. El conocimiento se limita a un único usuario con un aislamiento estricto: el contexto de cada cliente afina su propio sistema de priorización y nunca se cruza con el de otros usuarios.
Y dado que cada aprendizaje se remonta a una decisión humana, nada de esto es una caja negra. Siempre puedes ver qué motivó un veredicto y revocarlo. Una autonomía que respeta tu opinión lo suficiente como para permitir que guíe a la máquina.
La retroalimentación sigue siendo combustible, ahora con un medidor.
Hace un año, la frase "la retroalimentación es combustible" era una convicción. Ahora es una cifra. Y aún no hemos terminado: el siguiente paso consiste en permitir que los analistas capaciten al sistema desde el principio , describiendo su entorno de forma proactiva en lugar de generar alertas una por una, para que la máquina entre en funcionamiento conociendo ya sus servidores de parches, sus segmentos de invitados y sus cuentas de servicio.
El SOC No se vuelve más inteligente por sí solo. Se vuelve más inteligente aprendiendo del analista que sabe cuándo guiarlo, cuándo intervenir y cuándo enseñarle a no cometer el mismo error dos veces.
El año pasado lo argumenté. Este año puedo demostrarlo.
Vea el Agente Cibernético Aumentado Humano Estelar SOC —incluida la memoria institucional— en acción. Solicita una demo o hable con su representante de Stellar Cyber sobre la solución autónoma. SOC Añadir.
