La IA en operaciones de seguridad dejó de ser una promesa: hoy es parte del trabajo diario en muchos equipos. Un informe centrado en 2026, basado en una encuesta a más de 250 profesionales de ciberseguridad, muestra que la adopción ya es mayoritaria y, sobre todo, que está cambiando la forma de operar de los analistas.
En este artículo reunimos las ideas clave del reporte y las traducimos a implicaciones prácticas: qué problema intenta resolver la IA, qué resultados está dando y qué límites no conviene ignorar.
1) El verdadero cuello de botella: demasiado volumen de alertas
El dato principal es incómodo: los equipos reciben una cantidad enorme de alertas. En promedio, cada equipo gestiona alrededor de 100 alertas por día, pero en organizaciones grandes el número puede acercarse a 1.000 diarias. De hecho, una parte relevante de los equipos supera las 500 alertas al día.
La carga no se compensa con el tamaño del personal. Mientras algunas empresas cuentan con más de 100 analistas, muchas operan con plantillas pequeñas, en ocasiones de menos de 10 personas. En ese contexto, investigar de forma completa una sola alerta toma en promedio 75 minutos, y con frecuencia la alerta queda sin revisar casi una hora antes de que alguien comience a analizarla.
Cuando un atacante logra avanzar en un entorno en minutos —el reporte menciona un plazo de 29 minutos para iniciar movimiento—, el ciclo “de alerta a respuesta” deja de ser un simple tema de eficiencia: se convierte en un problema de contención. El analista termina expuesto a ruido constante y a una carga mental que reduce la capacidad de reacción.
2) Las alertas que no se investigan cuestan caro
El segundo hallazgo es directo: por la saturación, aproximadamente 28% de las alertas no llega a investigarse. ¿Qué pasa entonces? Una proporción importante de los encuestados afirma que alertas ignoradas o perdidas terminaron en incidentes de alto impacto, como brechas de datos o tiempos de inactividad del sistema. En concreto, el reporte indica que 60% admitió que algo que se pasó por alto acabó convirtiéndose en un problema serio.
Pero el problema puede ser incluso mayor. Hasta 40% de las organizaciones, según el informe, ha desactivado ciertos tipos de alertas por falta de personal. Esto puede parecer razonable como ingeniería de detección: si una regla no escala ni aporta hallazgos, se ajusta o se elimina. Sin embargo, si se apaga por falta de tiempo para revisar lo que produce, se reduce la cobertura justamente donde el equipo no puede permitirse “mirar hacia otro lado”. En otras palabras: el volumen real de exposición puede ser más alto de lo que reflejan los números.
3) Los atacantes también usan IA
Si la IA entra en el SOC, no es porque “nadie más la use”. Más de la mitad de los profesionales (el informe señala 56%) vio aumentar durante el último año los ataques impulsados por IA, con especial mención a sectores como finanzas y salud.
Entre las amenazas más comunes que describen están los phishing escritos por IA, estafas con audio y video falsificados, ataques masivos de credential stuffing y también malware generado con ayuda de IA.
Esto cambia el tipo de trabajo defensivo: no basta con “detectar” una firma conocida. La defensa tiene que sostenerse ante contenidos más convincentes, más automatizados y con menor fricción para el atacante.
4) La IA se vuelve prioridad: respuesta, cobertura y menos fatiga
Uno de los cambios más notables es la prioridad. El reporte indica que, por primera vez, tanto asegurar sistemas de IA como usar IA para la seguridad se colocan entre las principales prioridades, por encima de preocupaciones tradicionales como la seguridad en la nube o la protección de datos.
Además, los motivos reportados no son solo “estratégicos”; son operativos:
- 73% busca reducir tiempos de respuesta.
- 71% apunta a mejorar la cobertura de detección.
- 56% quiere hacer más con el mismo equipo.
- 37% intenta disminuir el agotamiento del analista.
5) ¿Funciona? El ahorro de tiempo es medible
Para quienes ya usan IA, el reporte es bastante claro: sí está ayudando. Casi tres cuartas partes (el informe menciona 72%) dicen que la IA redujo el tiempo de investigación al menos en 25%. Traducido al día a día, eso equivale a recuperar alrededor de 25 minutos por cada alerta.
Los equipos también reportan beneficios colaterales: mejor cobertura 24/7, menos falsos positivos y más tiempo disponible para que los analistas se enfoquen en tareas de mayor valor.
6) Construir IA propia es difícil y muchas iniciativas se abandonan
Es frecuente que un equipo piense: “si podemos desarrollarlo internamente, controlaremos mejor el resultado”. El informe señala que el 72% de quienes usan IA intentaron construir herramientas internas.
Sin embargo, en velocidad, el “hazlo tú mismo” no ofrece ventaja clara. Las mejoras reportadas se mantienen similares a las experiencias generales: quienes intentaron construir también mencionan ganancias en torno al 25% (el reporte compara 73% versus 72% para usuarios de IA).
Donde aparecen diferencias es en la continuidad: casi la mitad de estos proyectos DIY (el informe indica 46%) se abandona, no llega a producción o termina reemplazada por una solución comercial.
7) Confianza gradual: la IA ayuda, pero el cierre sigue requiriendo criterio
La IA no opera como un “piloto automático” completo. Aunque los equipos en general confían en los resultados cuando se comparan con la opinión de un experto humano, el reporte revela un punto operativo clave: 57% de los equipos exige revisión humana de cada decisión de la IA antes de cerrar una alerta.
Por eso, en la práctica, la IA suele funcionar como asistente:
- 44% la utiliza para recomendar acciones que luego ejecuta un humano.
- 30% permite automatización de remediación de bajo riesgo, sin depender siempre de una acción manual.
Y el dato más importante: en el reporte no aparece ningún caso donde se conceda autonomía total sin supervisión.
8) El tiempo liberado no se “pierde”: se usa para cazar amenazas
Cuando la IA reduce el tiempo de investigación, los equipos tienden a redistribuir esa capacidad. El reporte indica que alrededor de la mitad hace threat hunting de forma regular, y que eso produce resultados: 38% afirma haber descubierto actividad maliciosa que sus herramientas automatizadas no habían detectado.
Además, hay una relación entre frecuencia y eficacia. Los equipos que cazan semanalmente o más reportan un 49% de “hit rate”, frente a un 8% para los que nunca hacen hunting. Es decir: la IA no elimina la necesidad de buscar; la convierte en una práctica más viable.
9) Roles en transición: menos triage manual, más análisis avanzado
Con frecuencia surge el temor de que la IA reemplace a las personas. Según el informe, el escenario real es más matizado. Un 57% de los encuestados espera que el tamaño del equipo se mantenga igual, y 9% incluso anticipa crecimiento.
En lugar de reducir personal, muchas organizaciones están reasignando roles. Si la IA se encarga del triage básico, los analistas humanos pueden moverse hacia actividades como respuesta a incidentes, caza de amenazas y pruebas de defensas.
10) Privacidad y explicabilidad: las barreras que más pesan
La adopción no ocurre en un vacío. El reporte identifica obstáculos recurrentes. El principal, con 44% de menciones, es regulatorio: preocupación por la privacidad de datos y por cómo se entrenan los modelos.
La explicabilidad también aparece con fuerza: 41% de los equipos necesita entender por qué la IA llegó a cierta conclusión. Esto es crítico para auditoría, cumplimiento y para que la decisión sea defendible ante incidentes.
La clave, según el propio enfoque del reporte, es evaluar con rigor a los proveedores y no esperar a “ver qué pasa” una vez tomada la decisión.
Cómo se ve el “playbook” más efectivo
El mensaje final del informe es que casi todos los equipos están encaminados hacia la IA, principalmente porque los atacantes ya la están usando. El mejor camino, de acuerdo con los datos, combina varios elementos:
- Usar IA para investigar todo lo que llegue, sin saltarse alertas por conveniencia.
- Validar sistemáticamente lo que la IA concluye, con control humano donde sea necesario.
- Ampliar la autonomía de manera gradual, solo cuando la confianza está ganada por resultados consistentes.
- Invertir el tiempo ahorrado en threat hunting, para encontrar amenazas que no siempre generan alertas.
Conclusión: la IA en operaciones de seguridad reduce el ruido, pero no elimina el criterio
La evidencia del reporte apunta a una conclusión clara: la IA en operaciones de seguridad ya está instalada en el día a día, especialmente para manejar volumen y acelerar investigaciones. Cuando se implementa bien, puede reducir tiempos, mejorar cobertura y liberar capacidad para actividades proactivas.
Al mismo tiempo, el dato recuerda un principio: la automatización no sustituye la responsabilidad. La privacidad, la explicabilidad y la revisión humana siguen siendo pilares. Y precisamente por eso, los equipos más eficaces siguen un enfoque controlado: primero asistencia y validación; después, más autonomía.
Fuente: https://thehackernews.com/2026/08/what-data-says-about-ai-in-security.html
