50 red seguridad tercer trimestre 2026 IA monográfico Imagina un coche de rally entrando a gran velocidad en un tramo de montaña. El piloto conduce, pero a su lado alguien observa lo que todavía no puede ver y le anticipa lo que viene: curva cerrada, cambio de rasante, grava, peligro… Durante años, la inteligencia artificial (IA) ha ocupado en el SOC un asiento parecido al del copiloto. Observa enormes cantidades de información, detecta anomalías, correlaciona eventos y ayuda al analista a anticipar la siguiente curva. Pero algo está cambiando. El copiloto está empezando a tocar el volante. Los agentes de IA ya no tienen por qué limitarse a observar o recomendar. Pueden investigar una alerta, consultar diferentes fuentes, enriquecerla con inteligencia de amenazas, decidir una respuesta y, si les concedemos los permisos necesarios, ejecutarla. Y la evolución parece más natural de lo que suena cuando se escribe: Observar Analizar Recomendar Actuar con autorización Actuar autónomamente. Ahí es donde surge la pregunta para una entidad crítica: ¿cuándo estamos dispuestos a soltar el volante? Porque habitualmente no basta con saber que hay una curva. Imaginemos que un agente detecta con un altísimo grado de confianza que un endpoint corporativo está comprometido. Aislarlo durante unos minutos puede ser una respuesta rápida, razonable y fácilmente reversible. Ahora imaginemos que el activo pertenece a un proceso industrial crítico. Aislarlo puede detener el ataque, pero también podría detener algo mucho más importante: mi negocio. Ahí aparece uno de los grandes retos de aplicar IA autónoma a entornos críticos: acertar al identificar la amenaza no garantiza acertar con la respuesta. Por eso, la autonomía de un agente no debería depender únicamente de cuánto confiamos en su detección. También debería depender de cuánto confiamos en las consecuencias de su decisión. Antes de entregarle el volante, tendríamos que valorar cuatro elementos: confianza, urgencia, impacto y reversibilidad. ¿Estamos seguros de lo que está ocurriendo? ¿Qué sucede si esperamos? ¿Qué sucede si nos equivocamos? ¿Podemos deshacer inmediatamente la decisión? Y ante este contexto, quizá no necesitemos soltar el volante. Futuro del SOC El futuro del SOC en las entidades críticas probablemente no esté entre dos extremos: conducción humana o conducción autónoma. Existe un espacio mucho más interesante: la autonomía acotada. Podemos permitir que los agentes actúen solos ante determinadas amenazas, sobre determinados activos y mediante acciones previamente establecidas y reversibles. Y podemos exigir autorización humana (human-inthe-loop) cuando una decisión pueda afectar a la continuidad de un servicio esencial. Porque, además, cuanto mayor sea la capacidad de actuación de un agente, más importante será protegerlo. Un agente conectado al SIEM, al EDR, a sistemas de identidad o a herramientas de respuesta deja de ser únicamente una ayuda para el SOC: se convierte también en parte de la superficie crítica que debemos defender. Y quizá, por tanto, estemos formulando mal la pregunta. No se trata de decidir si la IA puede conducir. Técnicamente, cada vez podrá hacerlo mejor y, además, deberá hacerlo para asumir tanta capacidad de ataque como nos vamos a encontrar. La verdadera cuestión para las entidades críticas será decidir en qué carreteras, a qué velocidad y, sobre todo, cuándo queremos seguir teniendo las manos sobre el volante. ¿Le darías el volante a la IA? José María Ochoa Carriches Director de OneseQ (área de Ciberseguridad de Alhambra)
RkJQdWJsaXNoZXIy MTI4MzQz