La paradoja de la priorización
Cada mañana, la vista desde un panel de seguridad es prácticamente la misma. Se trata de un muro de texto en rojo: cientos de hallazgos de vulnerabilidades, docenas de anomalías de IAM, desviaciones de Terraform y un flujo implacable de alertas de escáneres, registros y pipelines.
La mayoría de estas señales son importantes. Algunas son incluso muy importantes. Y algunas son tan urgentes que los responsables de ingeniería deberían haberse enterado hace diez minutos.
Se trata de una brecha nueva: ya no lidiamos con la visibilidad, sino con la priorización.
Tenemos demasiados datos y muy poco tiempo para convertirlos en decisiones. Actualmente, una visión real de la postura de seguridad de una empresa queda enterrada entre 15 fuentes diferentes: desde análisis de Trivy y registros de Okta hasta patrones de acceso de CloudTrail y listas de verificación de cumplimiento.
¿El resultado? El equipo directivo no consigue datos claros y los equipos de ingeniería no reciben tareas priorizadas. Los SRE, como nosotros, dedicamos demasiado tiempo a resumir datos en lugar de diseñar soluciones.
Hace poco, organizamos un hackatón interno en el que debíamos resolver este problema haciendo una pregunta sencilla: ¿Puede la IA tomar todo este ruido y convertirlo en una narrativa breve y clara?
El concepto: un resumen de seguridad diario
No nos propusimos crear otro panel. A nadie le interesa otro panel.
Queríamos crear una narrativa de una página que un ejecutivo pudiera leer en 30 segundos, de camino a una reunión, pero que alcanzara para que los ingenieros tuvieran la evidencia, las señales sin procesar y la responsabilidad necesarias para solucionar los problemas.
Creamos un prototipo que combina nuestras señales de seguridad actuales, una capa ligera de puntuación basada en lógica y una herramienta de IA para resumir (utilizando RAG) a fin de producir un “Informe de seguridad diario”.
Así se ve exactamente el resultado para un ejecutivo:
Informe de seguridad diario del 7 de noviembre de 2025. Estado general: moderado (⬆ tendencia al alza)
Tres acciones principales
1. Revocar el acceso público en el bucket de S3 customer-export-backup. La evidencia muestra solicitudes GET externas de direcciones IP desconocidas. (Exactitud: alta).
2. Aplicar el parche auth-api para solucionar CVE-2024-XXXX. Prueba de concepto pública disponible. (Exactitud: alta).
3. Investigar dos inicios de sesión inusuales en la consola de administración. Se detectó actividad desde una ubicación geográfica o dispositivo nuevos. (Exactitud: media).
Contexto y narrativa: “La mayoría de los hallazgos de hoy son de rutina, pero dos elementos elevan el riesgo general: un bucket público de S3 que contiene exportaciones confidenciales y una vulnerabilidad crítica de OpenSSL con intentos de vulneración de recursos notificados. Sumados a la actividad anormal del administrador de IAM, recomendamos abordar esto dentro de las próximas 48 horas”.
La arquitectura “sin magia”
Para lograr todo esto, construimos un pipeline de cuatro pasos que transforma los datos sin procesar en una narrativa pulida. Tuvimos cuidado de no excedernos con la ingeniería.
Paso 1: procesar y normalizar. Combinamos los resultados de todos nuestros escáneres y registros (Trivy, Tenable, CloudTrail, etc.) y los convertimos en un esquema JSON único y normalizado. Esto garantiza que una vulnerabilidad en un contenedor y una desviación en Terraform hablen el mismo idioma.
Paso 2: priorizar y puntuar (sin IA). Intencionalmente, evitamos el uso de aprendizaje automático de “caja negra” para la capa de puntuación. En cambio, usamos una puntuación práctica y basada en la lógica (de 0 a 100) fundamentada en factores de riesgo.
- ¿Bucket público + etiqueta PII? Riesgo alto.
- ¿CVSS 9.0 + sistema expuesto a internet? Riesgo crítico.
- ¿Desviación en un módulo crítico de Terraform? Priorizar.
Este filtro garantiza que la IA solo se centre en los elementos que realmente importan.
Paso 3: recuperar contexto (la capa RAG). Para los elementos de mayor riesgo, utilizamos la búsqueda vectorial para recuperar el contexto. Consultamos nuestra base de datos de vectores en busca de incidentes similares anteriores, manuales de procedimientos relevantes, diferencias de PR y metadatos del propietario de los activos. Esto proporciona la “memoria” que el sistema necesita para comprender si una anomalía es realmente nueva o simplemente un falso positivo recurrente.
Paso 4: resumen con IA y medidas de seguridad. Finalmente, ingresamos los elementos principales y su contexto recuperado en un LLM. Utilizamos indicaciones estrictas para evitar alucinaciones con la siguiente instrucción: “Resumir la evidencia a continuación en 3 o 4 oraciones claras para un público ejecutivo. No inventar ningún hecho. Usar solo la evidencia proporcionada”.
¿Qué hace la IA en esta situación?
Durante este experimento, descubrimos algo sorprendente: la IA no es necesariamente buena para “encontrar problemas”. Nuestros escáneres hacen eso muy bien.
La IA es excelente para resumir el contexto.
La magia no está en la detección, sino en la síntesis y la narrativa. La IA ayuda a responder lo siguiente:
- ¿Qué cambió recientemente?
- ¿Qué tres elementos importan hoy?
- ¿Quién debe tomar medidas?
Esta es la parte en la que los humanos pierden horas, y que la IA maneja muy bien.
Lecciones aprendidas del experimento
1. El 70 % de los hallazgos son solo ruido
Al forzar un modelo de priorización estricto, aprendimos que la gran mayoría de los hallazgos diarios no son relevantes en este momento. No significa que no presenten un riesgo, pero no requieren tomar medidas hoy. La IA ayuda a identificar los cambios específicos que requieren atención inmediata.
2. Los ejecutivos prefieren la narrativa a las métricas
Las métricas no siempre se entienden fácilmente. El equipo directivo prefiere una narrativa que explique “Esto es importante porque…” y “Esto afecta a tales clientes…” en lugar de un gráfico que muestre “500 vulnerabilidades críticas”. El formato narrativo alinea de inmediato a los equipos de seguridad, SRE y liderazgo.
3. Los ingenieros necesitan el “anexo”
Mientras los ejecutivos reciben el resumen, el sistema genera un anexo detallado para los ingenieros, que contiene resultados de escaneo sin procesar, registros de CloudTrail, diferencias y manuales de procedimientos vinculados. Cuando los ingenieros vieron que la IA proporcionaba los paquetes de evidencia y las diferencias automáticamente, se dieron cuenta de que la herramienta no los reemplazaba en su trabajo, sino que realizaba las tareas que no les agradaban.
El veredicto
Este sistema no sustituye el criterio humano. La IA no puede decidir el riesgo empresarial, aprobar parches de emergencia ni comprender los matices de las organizaciones. Actúa como un “analista junior” que redacta el primer borrador y muestra los problemas pertinentes a las personas indicadas.
Al aplicar IA práctica con sólidas medidas de seguridad, transformamos datos operativos desordenados en un sistema que ahorra horas de esfuerzo manual cada semana.
Conclusión
La seguridad moderna no guarda relación con lo que se ve, sino con cómo se prioriza. No necesitamos más paneles: lo que hace falta es más claridad. Al construir un pipeline impulsado por IA para procesar señales y generar una historia, podemos dejar de perdernos en el ruido y comenzar a enfocarnos en la acción.
