Cuando presentamos nuestra plataforma de última generación para la empresa basada en la inteligencia artificial, nos centramos en una idea sencilla: la seguridad debe funcionar al mismo ritmo que el entorno que protege.
Desde entonces, una cosa ha quedado más clara: en el ámbito empresarial de la IA, esta no solo está acelerando los ataques, sino que está poniendo de manifiesto los límites del funcionamiento de la seguridad. Las alertas siguen siendo confusas. Las investigaciones siguen siendo manuales. Las decisiones siguen siendo demasiado lentas. Añadir más funciones de IA no ha solucionado eso, porque el problema no es la falta de IA, sino la aplicación de la IA a los problemas adecuados.
La IA aplicada a la seguridad tiene un problema: está optimizada para detectar características, no para obtener resultados
En el ámbito empresarial de la IA, la mayoría de las plataformas de seguridad utilizan la IA para mejorar sus capacidades individuales:
- Mejor detección de anomalías
- Menos alertas
- Generación de señales más rápida
Pero los equipos de seguridad no miden el éxito en función de las características. Lo miden en función de los resultados. Los equipos de SecOps se preguntan:
- ¿Con qué rapidez podemos detectar un ataque?
- ¿En cuánto tiempo podemos entender lo que está pasando?
- ¿Con qué rapidez podemos reaccionar y contenerlo?
En Vectra AI, nuestro enfoque consiste en correlacionar señales procedentes de entornos fundamentalmente distintos. No aplicamos la IA a las características. La aplicamos a lo largo de todo el ciclo de vida de la visibilidad, la detección, la correlación y la respuesta, con el fin de reducir la carga de trabajo de SecOps y mejorar las métricas operativas reales.
Visibilidad: la seguridad proactiva requiere una observabilidad con el nivel adecuado de detalle
No se puede reducir un riesgo que no se comprende del todo. En el ámbito de la IA empresarial, la visibilidad no consiste en recopilar más datos, sino en capturar los datos adecuados con la precisión suficiente para detectar a tiempo el comportamiento de los atacantes. En estos entornos, las identidades —incluidos los agentes de IA— superan en número a los seres humanos, y la actividad nunca cesa. Los ataques no se limitan a un solo ámbito. Se desplazan a través de la red, las identidades, el SaaS, cloud y la infraestructura de IA.
La mayoría de las herramientas solo captan fragmentos de esta actividad. Vectra AI esto de otra manera. Nos basamos en la telemetría de la red (paquetes y flujos) como referencia. Complementamos esta información con datos de identidad y cloud procedentes de plataformas como Entra ID, M365, AWS y Azure. Esto nos permite:
- Reconstruir comportamientos en distintos ámbitos, no solo dentro de un único ámbito
- Relacionar identidades, hosts y servicios en un panorama global
- Mantener la visibilidad del tráfico este-oeste y del tráfico efímero
A medida que aumenta la adopción de la IA, esto cobra aún más importancia. Los agentes de IA son ahora identidades de pleno derecho: operan en el mismo entorno híbrido y abren nuevas vías de ataque. Mediante la telemetría de red e identidad, Vectra AI visibilidad sobre:
- Transferencia de datos a proveedores de servicios de inteligencia artificial
- Uso de aplicaciones y marcos de trabajo orientados a la acción
- Herramientas no autorizadas (por ejemplo, marcos de trabajo de agentes de código abierto)
- Actividad en plataformas como Copilot Studio, AWS Bedrock y Azure AI
No se trata de una simple agregación de registros. Se trata de la observabilidad del comportamiento en todo el entorno híbrido, lo que permite a los equipos subsanar las brechas de seguridad con mayor rapidez, detectar amenazas de forma proactiva y mejorar el nivel general de seguridad.
Detección: utilizar la metodología adecuada para cada caso concreto de amenaza
La defensa proactiva en el ámbito de la IA empresarial comienza por los comportamientos, no por las alertas.
Un único enfoque basado en la inteligencia artificial no puede resolver todos los retos de seguridad. El teorema de «no hay nada gratis» nos dice que ningún modelo por sí solo ofrece el mejor rendimiento en todos los problemas. El comportamiento de los atacantes no es una excepción.
- El tráfico de mando y control se comporta como los datos de series temporales
- El abuso de privilegios de identidad se comporta como líneas de referencia multidimensionales
- El movimiento lateral entrecloud como los grafos de relaciones
Utilizar el mismo modelo para todos estos casos no simplifica la seguridad. Genera confusión.
Vectra AI un enfoque de la IA centrado en la seguridad : parte de los métodos de los atacantes (y no de los datos), identifica los comportamientos que los caracterizan y, a continuación, aplica los modelos adecuados para lograr una detección de alta precisión.
Cómo se traduce esto en la práctica:
- Command and Control: Utilizamos redes neuronales recurrentes (LSTM) para modelar la evolución de las comunicaciones a lo largo del tiempo, detectando canales de control incluso cuando están encriptados u ocultos.
- Abuso de privilegios de identidad: modelamos el comportamiento real en todas las cuentas, hosts y servicios para detectar el uso indebido de los accesos, y no solo las desviaciones respecto a los valores de referencia estáticos.
- Movimiento lateral: Utilizamos modelos basados en relaciones para rastrear cómo se desplazan los atacantes entre las distintas superficies.
Los atacantes pueden cambiar de herramientas. Pueden cambiar de infraestructura. Pero no pueden cambiar fácilmente su comportamiento.
La mayoría de las herramientas basadas en IA actuales están diseñadas para detectar anomalías. Nosotros desarrollamos IA para detectar los métodos de los atacantes. El resultado es una detección de mayor precisión con menos ruido:
- Más del 90 % MITRE ATT&CK
- La mayoría de las referencias de cualquier proveedor en MITRE Defend
- Menos falsos positivos y más señales útiles
Correlación: la importancia de atar cabos
En el ámbito de la IA empresarial, los ataques no se producen como incidentes aislados. Se desarrollan como una serie de comportamientos interrelacionados en distintos frentes, que la mayoría de las herramientas muestran como alertas independientes. Los atacantes llevan a cabo acciones coordinadas que solo cobran sentido cuando se analizan en su conjunto.
Vectra AI está diseñada para establecer conexiones. Mediante la integración basada en IA, unimos los patrones de comportamiento de la actividad de red, la telemetría de identidad, cloud y las interacciones SaaS en una única visión global. Todo ello gracias a una capa de traducción propia que aúna formas de telemetría fundamentalmente diferentes —paquetes, registros y datos de configuración— en un modelo de comportamiento común.
El resultado son menos alertas, pero con mayor fiabilidad, que reflejan la actividad real de los atacantes. Esto permite:
- Visibilidad a nivel de campaña: identificar campañas completas de atacantes, no solo detecciones aisladas
- Priorización basada en el comportamiento: evaluar la actividad en función de la evolución y el riesgo, y no de la gravedad estática
- Atribución centrada en la identidad: rastrea los ataques hasta las identidades y los hosts, no hasta indicadores transitorios como las direcciones IP
Esta es la diferencia entre observar sucesos aislados y comprender los ataques. Entender los comportamientos es solo la mitad del problema. El verdadero reto consiste en actuar en función de esa información, con la rapidez suficiente para detenerlos.
Respuesta: una respuesta acelerada implica eliminar la latencia de los analistas
La velocidad de detección ya no es el cuello de botella. Ahora lo es la velocidad de toma de decisiones.
Hoy en día, los equipos de SecOps se ven desbordados por la avalancha de datos, pero siguen careciendo del contexto necesario para actuar con la suficiente rapidez. Siguen:
- Clasificación manual de alertas
- Correlación de señales entre herramientas
- Escribir consultas para comprender lo que está sucediendo
En el ámbito de la IA empresarial, donde los atacantes actúan a la velocidad de las máquinas, los ataques pueden desarrollarse en cuestión de minutos. Si la respuesta sigue dependiendo de flujos de trabajo manuales, ya es demasiado lenta. En Vectra AI, nos centramos en eliminar la latencia en la toma de decisiones. No solo la latencia en la detección.
Cómo se traduce esto en la práctica:
- Priorización basada en la inteligencia artificial: los comportamientos se correlacionan y puntúan automáticamente en función de la evolución del ataque, de modo que los equipos se centran en lo que realmente importa
- Flujos de trabajo de investigación predefinidos: con un solo clic, las investigaciones revelan el contexto completo de la red, las identidades y cloud, sin necesidad de recopilar datos manualmente.
- Análisis asistido por IA: los analistas pueden consultar los datos de telemetría utilizando lenguaje natural y obtener respuestas inmediatas y contextualizadas, así como recomendaciones sobre los siguientes pasos a seguir.
El resultado es un cambio fundamental en la forma de trabajar de los equipos de SecOps:
- Más de 45 minutos de ahorro por investigación
- Reducción significativa del volumen de alertas y del ruido. En entornos con más de 1000 identidades, los clientes observaron que menos de 10 requerían una investigación.
No se trata solo de una respuesta más rápida. Se trata de eliminar los obstáculos entre la detección y la acción, de modo que los equipos puedan contener los ataques mientras aún están en curso. Los atacantes ya actúan a la velocidad de una máquina. Los equipos de seguridad no necesitan más alertas. Necesitan la capacidad de decidir y actuar con mayor rapidez.
Un enfoque radicalmente diferente de la ciberresiliencia
Proteger la empresa de IA no consiste en añadir más herramientas o más funciones de IA. Requiere un cambio en la forma de abordar la seguridad:
- De un enfoque centrado en los datos a uno centrado en el comportamiento
- De las alertas a los resultados
- De la rapidez de detección a la rapidez de decisión
La mayoría de los enfoques se limitan a generar alertas. Pero las alertas no detienen los ataques. Lo que sí los detiene es comprenderlos y actuar en consecuencia.
Eso es lo que significa utilizar la IA para proteger la empresa de IA. Y, lo que es más importante, eso es lo que hace falta para aliviar la carga de los equipos que la defienden.