La velocidad con la que avanza la inteligencia artificial en ciberseguridad está generando una presión real en los equipos de seguridad. A muchos líderes les ocurre lo mismo: ven nuevos productos, prometen automatización y aparece la duda constante de si “deberían” usarlos ya. Ese fenómeno —muy parecido al FOMO en el SOC— puede llevar a errores de enfoque si se asume que una sola herramienta de IA sirve para todo.
La conversación ya no es solo si la IA “pertenece” al SOC, sino dónde cada tipo de IA aporta más valor. En este artículo te explico una idea práctica: plataformas conversacionales para analistas como Claude ayudan mucho, pero un SOC autónomo está diseñado para investigar alertas a gran escala, de forma continua y con costos controlables.
La IA ya cambió la operación diaria del SOC
Los atacantes también están usando IA para acelerar tareas: por ejemplo, generar campañas de phishing, automatizar partes del desarrollo de malware y moverse con mayor agilidad. Al mismo tiempo, los defensores incorporan IA para tareas como priorizar y clasificar alertas, crear reglas de detección, resumir incidentes y reducir trabajo repetitivo.
La oportunidad es enorme. Sin embargo, el reto no desaparece: con tantos productos nuevos en el mercado, es fácil caer en la suposición de que “todo se resuelve igual”. La realidad es más matizada. Diferentes enfoques de IA cumplen funciones distintas dentro del flujo del SOC.
Dos capas de IA: trabajo autónomo vs. asistencia a profesionales
Una forma útil de entender la seguridad operativa moderna es verla como capas complementarias. En la base están tus herramientas existentes: SIEM, EDR, seguridad en la nube, plataformas de identidad, seguridad de correo y todo lo demás que genera alertas.
En el medio aparece una capa de SOC autónomo. Su rol es investigar las alertas automáticamente, correlacionar hallazgos entre herramientas y aplicar el contexto de la organización. Lo más importante es decidir cuáles alertas requieren atención humana y cuáles pueden resolverse sin intervención manual.
En la parte superior están las plataformas de IA conversacional, como Claude, Cursor y Codex. Ahí es donde analistas, ingenieros de detección y respondedores a incidentes colaboran con IA para resolver problemas: redactar detecciones, crear informes, cazar amenazas y tomar decisiones.
La clave es que estas capas no compiten entre sí. Se complementan para cubrir tanto volumen como criterio humano.
Por qué Claude no debería investigar cada alerta
Claude (y plataformas similares) son muy capaces, pero están diseñadas para asistir a las personas, no para reemplazar completamente la operación autónoma del SOC. Un analista puede pedir explicaciones sobre actividad sospechosa en PowerShell, resumir una investigación, redactar una regla Sigma o traducir una detección a otro lenguaje de consulta. Es un uso excelente de la IA.
El problema aparece cuando se intenta usar una plataforma conversacional como si fuera un investigador 24/7 para miles de alertas diarias. Investigar ese volumen requiere un sistema que funcione continuamente, se integre con tus herramientas de seguridad, conserve contexto organizacional y haga indagación sin esperar una petición humana.
Intentar que Claude “atienda todo” se parece a pedirle a un consultor brillante que responda cada llamada en un centro de atención saturado: es valioso, pero está pensado para tareas donde su experiencia aporta mayor impacto.
El “tokenomics” y el costo detrás de investigar a escala
Hay otra razón práctica para no usar plataformas como Claude para investigar todas las alertas: la economía computacional. Cada investigación necesita contexto: telemetría de endpoint, árboles de procesos, registros de autenticación, historial de correo, inteligencia de amenazas, investigaciones previas, reglas de detección y conocimiento propio de la organización.
Todo ese contexto se traduce en consumo de “tokens”. Para una lista corta de incidentes al día, el modelo puede ser una gran ayuda. Pero el cálculo cambia drásticamente cuando el SOC recibe miles o decenas de miles de alertas diarias.
Si cada alerta exigiera una investigación “desde cero” mediante un modelo de lenguaje, el gasto crecería con el volumen. Y, además, gran parte de las alertas se convertirán en falsos positivos o eventos benignos. Por eso, en entornos de alta carga, un enfoque autónomo es el que hace sostenible el proceso: combina flujos deterministas, análisis forense, memoria organizacional, contexto reutilizable y razonamiento selectivo con IA.
El resultado deseado es una arquitectura que investigue continuamente manteniendo los costos predecibles. Es decir: usar IA donde aporta valor, no para cada paso de cada caso, siempre.
El desafío típico en MDR: la información no siempre está disponible
Además, muchas organizaciones no operan su propio SOC interno. En su lugar, contratan un proveedor de MDR para monitorear el entorno. En esos escenarios, el MDR suele tener el control del flujo de investigación: cuenta con analistas, un sistema de gestión de casos, el historial de investigaciones y, con frecuencia, la telemetría enriquecida que se obtiene durante el análisis.
El cliente normalmente recibe lo más importante: incidentes escalados y reportes periódicos. No siempre tiene acceso a todas las evidencias que el proveedor recopiló durante el proceso.
Esto complica el trabajo de una plataforma como Claude para investigar alertas de forma independiente, porque no puede razonar sobre datos que no posee. Aunque la organización quiera automatizar más con IA, primero necesita disponer de alertas crudas, telemetría, artefactos de investigación y contexto histórico. Si esa información permanece dentro del entorno del MDR, la IA conversacional no puede “ver” lo mismo que el equipo proveedor.
En ese tipo de situaciones, emergen con fuerza los SOC autónomos: se ubican junto a tus herramientas de seguridad, investigan alertas conforme llegan, retienen el contexto organizacional y hacen ese conocimiento accesible para analistas y para plataformas de IA.
La idea no es reemplazar MDR de forma inmediata, sino abrir un camino para asumir más control sobre investigaciones y conocimiento institucional con el tiempo.
¿Investigar 100% de las alertas? No es opción, es necesidad
En la práctica, muchos equipos no tienen capacidad para investigar cada alerta que reciben. Por eso, priorizan alertas de mayor severidad, mientras que las de severidad menor reciben menos atención. Sin embargo, la severidad no siempre se correlaciona con el riesgo real.
De hecho, se menciona un hallazgo a partir del procesamiento de más de 25 millones de alertas de seguridad durante 2025: cerca del 1% de incidentes confirmados se originó en alertas de severidad baja o informativas. La consecuencia es directa: amenazas relevantes pueden aparecer en cualquier punto del flujo de alertas, no solo en las que “gritan” más alto.
La solución no es pedir a los analistas que trabajen más. Es aumentar capacidad. Un SOC autónomo crea esa capacidad investigando el 100% de las alertas —o al menos asegurando cobertura continua— y escalando únicamente los casos que requieren criterio humano.
Dónde Claude y “sus colegas” realmente brillan
Una vez que el SOC autónomo termina la parte pesada —triage, correlación y análisis inicial—, las plataformas de IA para analistas se vuelven especialmente valiosas. En lugar de perder tiempo recopilando evidencia entre múltiples consolas, los profesionales pueden enfocarse en el trabajo de mayor valor.
Con Claude, por ejemplo, se pueden realizar actividades como:
- Hacer preguntas sobre investigaciones ya completadas.
- Redactar y perfeccionar reglas de detección.
- Cazar amenazas emergentes.
- Resumir investigaciones para stakeholders.
- Generar reportes de incidentes.
- Explorar hipótesis nuevas con el contexto disponible.
- Tomar decisiones finales en casos complejos.
En otras palabras: el SOC autónomo gestiona el “ruido” del volumen; la plataforma de IA ayuda a las personas a pensar mejor, crear más rápido y decidir con fundamento.
Conclusión: no elijas una sola pieza; integra las capas
El punto más importante detrás del FOMO en el SOC con IA es este: no se trata de escoger entre un SOC autónomo y plataformas como Claude. Se trata de combinar ambos enfoques.
El SOC autónomo investiga alertas de manera continua en el entorno, reduce la carga operativa y mantiene el contexto organizacional. La plataforma de IA conversacional, en cambio, permite que los analistas trabajen más rápido y tomen mejores decisiones sobre lo que ya fue investigado, o sobre casos que sí requieren análisis humano.
Juntos forman un modelo donde las máquinas cubren la parte repetitiva y el volumen, mientras las personas se concentran en estrategia, juicio y mejora continua.
Fuente: https://thehackernews.com/2026/08/fomo-in-soc-where-ai-platforms-like.html
