IA agéntica para ciberseguridad: 10 casos de uso y ejemplos
IA agéntica se refiere a sistemas de IA que combinan modelos como grandes modelos de lenguaje (LLMs) con flujos de trabajo automatizados, integración de herramientas y soporte a la toma de decisiones. Estos sistemas ayudan a los equipos de seguridad en SecOps y AppSec analizando alertas, automatizando tareas rutinarias y apoyando el trabajo de investigación.
Explore casos de uso estructurados y reales de IA agéntica en ciberseguridad, así como lo que hacen estos agentes, cómo funcionan y sus limitaciones prácticas:
Ejemplos de agentes de IA en ciberseguridad
- Agentes de nivel 1
- Ayudan con la detección inicial y la clasificación de alertas.
- Realizan clasificación de alertas, deduplicación y enriquecimiento.
- Proporcionan contexto a los analistas para priorizar amenazas.
- Agentes de nivel 2
- Ejecutan acciones predefinidas bajo supervisión humana.
- Tareas de ejemplo: aislar sistemas afectados, iniciar la contención basada en playbooks.
- Agentes de nivel 3
- Apoyan el análisis avanzado de amenazas.
- Capacidades de ejemplo: correlacionar telemetría entre sistemas, ayudar en la caza de amenazas, escaneo de vulnerabilidades.
Los agentes de nivel 3 no reemplazan a los analistas humanos, sino que aumentan su flujo de trabajo.
IA agéntica para flujos de trabajo de ciberseguridad
A diferencia de la automatización simple basada en reglas de los sistemas de seguridad tradicionales, la IA agéntica puede orquestar múltiples herramientas, integrar información contextual de diversas fuentes y apoyar la toma de decisiones procesando datos no estructurados. Sin embargo, estos sistemas funcionan con supervisión humana o políticas preconfiguradas en lugar de un aprendizaje y control totalmente autónomos en entornos de producción.
La IA agéntica aprovecha su capacidad de aprender dinámicamente de su entorno.1 Mejora las actividades de ciberseguridad mediante:
- Monitorizando y abordando amenazas de forma continua en tiempo real
- Automatizando tareas repetitivas del SOC con mínima intervención humana
- Ofreciendo soporte contextual a la toma de decisiones
Arquitectura de agentes de IA integrados con inferencia de IA, para su interacción con LLMs y datos empresariales para la automatización del SOC:
Adaptado de: Cloudera2
Capacidades principales de las herramientas de IA agéntica para ciberseguridad
Las principales capacidades de las herramientas de IA agéntica para ciberseguridad incluyen:
- Clasificación y enriquecimiento inteligente de alertas: Los sistemas agénticos pueden clasificar y priorizar alertas, reduciendo el ruido y ayudando a los analistas del SOC a centrarse en amenazas significativas.
- Asistencia en investigación automatizada: Estos sistemas pueden recopilar información contextual (por ejemplo, inteligencia de amenazas, correlaciones de registros) y resumir los hallazgos para los analistas humanos.
- Ejecución de contención y playbooks: La IA agéntica puede ejecutar acciones de contención como poner en cuarentena un host o aplicar restricciones de acceso definidas en playbooks automatizados, sujetas a gobernanza y supervisión humana.
- Soporte para caza de amenazas: Ayudan a los analistas correlacionando indicadores de compromiso (IOC) entre fuentes de datos y sugiriendo hipótesis de investigación, aunque sigue siendo necesaria una interpretación humana sustancial.
- Análisis y priorización de vulnerabilidades: Los sistemas de IA ayudan a analizar y puntuar vulnerabilidades a escala para apoyar la priorización de recursos.
Flujo de trabajo de ejemplo: agente de IA para detección de vulnerabilidades (Nivel 1)
En pruebas de concepto de ciberseguridad, se han implementado agentes de IA para apoyar flujos de trabajo de escaneo y clasificación de vulnerabilidades, interactuando con APIs que proporcionan datos de vulnerabilidad y orquestando tareas como la creación de tickets o la generación de informes.
Además de sistemas empresariales como Dropzone IA, también existen implementaciones artesanales donde los agentes de nivel 1 manejan la detección inicial y la clasificación de posibles amenazas de seguridad.
Aquí hay una demostración para construir un agente automatizado de detección de vulnerabilidades en el entorno de sandbox de DevNet:
Arquitectura agéntica utilizada en la demo: El agente se comunica con una interfaz front-end (como la UI de Streamlit) y un agente enrutador (ACCS), enviando APIs REST y comandos en una dirección y recibiendo respuestas, ya sea en JSON o texto plano, en la otra dirección.
Flujo de trabajo e interacciones del agente
1. Ingreso de instrucción: El usuario ingresa una instrucción, como “¿Es R1 vulnerable? Si es así, por favor abre un problema en ServiceNow y envía un informe por correo electrónico al equipo de seguridad a xyz@gmail.com.”
2. Procesamiento inicial: El agente recibe la instrucción y analiza la solicitud. Identifica que la tarea es verificar la vulnerabilidad del Router 1 (R1), abrir un ticket de problema en ServiceNow y enviar un informe por correo electrónico a la dirección especificada.
3. Ejecución de consulta: El agente front-end (UI de Streamlit) y el agente enrutador (ACCS) se comunican entre sí. El agente enrutador consulta el estado del Router 1 en el sistema, comprobando vulnerabilidades. Determina dinámicamente los comandos necesarios y los ejecuta (por ejemplo, usando el comando show version para obtener detalles de la versión).
4. Recolección de datos: El agente enrutador recopila los datos necesarios, como la versión del Router 1, y envía estos datos a la API del PSIRT para verificar si hay vulnerabilidades conocidas asociadas con esa versión.
5. Detección de vulnerabilidades: El sistema consulta la API del PSIRT, recibe los resultados (ya sea en JSON o texto plano) y procesa la información. Identifica si hay vulnerabilidades de alto riesgo relacionadas to Router 1.
6. Ejecución de acciones: Si se detectan vulnerabilidades:
- Se abre automáticamente un ticket de problema en ServiceNow
- El agente envía por correo electrónico un informe de vulnerabilidad al equipo de seguridad.
Vea el informe de vulnerabilidad por correo electrónico generado por el agente de IA:
Casos de uso reales: IA agéntica en SecOps
1. Clasificación e investigación
- Los agentes agrupan alertas, eliminan duplicados y enriquecen las alertas con contexto de amenazas.
- Ejemplo de enriquecimiento: comprobaciones de IOC, información de endpoints y cuentas.
- Los analistas humanos aún revisan los hallazgos para evitar falsos positivos.
Ejemplo real: agentes de IA que aprovechan la clasificación e investigación
Desafíos: La configuración de seguridad inicial de una compañía de seguros digital requería gestión manual de alertas, lo que consumía muchos recursos.
- Alto volumen de alertas de seguridad
- Procesos que consumían mucho tiempo
- Necesidad de monitorización continua 24/7
Soluciones: La compañía implementó agentes de IA para ciberseguridad y los integró con sistemas existentes como AWS, Google Workspace y Okta.
Consecuencias:
- Reducir la carga manual permitió a los analistas del SOC priorizar tareas de mayor valor.
- Informes de investigación detallados proporcionaron un nivel granular de análisis, aumentando la visibilidad sobre los IOC (indicadores de compromiso).
- Reducción de falsos positivos mejoró la precisión en la detección de amenazas.4
2. Soporte para caza de amenazas
La IA agéntica puede utilizarse en sistemas de ciberseguridad para detectar y responder a amenazas en tiempo real.
Por ejemplo, estos agentes pueden identificar comportamientos inusuales en la red y aislar dispositivos afectados de forma autónoma para evitar un compromiso sin intervención humana.
- Los agentes ayudan a los analistas a detectar comportamientos inusuales en la red.
- Categorizan alertas por indicadores atómicos, computados y comportamentales.
- Correlacionan indicadores entre datos históricos y en tiempo real.
- Los analistas interpretan los pasos de investigación sugeridos; la IA no reemplaza el juicio experto.
Caso de estudio real: agentes de IA que aprovechan la caza de amenazas
Desafíos: El Sistema de Salud de la Universidad de Kansas tenía dificultades para coordinar la respuesta a incidentes, algunos de los desafíos clave incluyen:
- Falta de visibilidad
- Respuesta a incidentes limitada
- Restricciones de recursos de personal
Soluciones: La universidad implementó una plataforma de seguridad con capacidades de IA agéntica para mejorar la visibilidad y automatizar la respuesta a incidentes y la caza de amenazas.
Consecuencias:
- Visibilidad en todos los sistemas aumentó en más del 98 %
- La cobertura de detección mejoró en un 110 % en seis meses.
- Procesos automatizados de respuesta a incidentes filtraron y resolvieron 74.826 de 75.000 alertas, escalando 174 para revisión manual.
- Los verdaderos positivos entre las alertas escaladas totalizaron 38, reduciendo el ruido y permitiendo respuestas focalizadas.5
3. Acciones de respuesta
Los agentes pueden generar plantillas de infraestructura como código (por ejemplo, OpenTofu, Pulumi). Pueden realizar acciones en endpoints o actualizar controles de seguridad bajo supervisión humana.
Ejemplo real: agentes de IA que aprovechan las acciones de respuesta
Desafíos: APi Group, una organización de distribución, enfrentó los siguientes desafíos de ciberseguridad:
- Pilas tecnológicas diversas
- Visibilidad en todo el ecosistema
Soluciones: Para abordar los desafíos anteriores, APi Group implementó la plataforma de IA agéntica de ReliaQuest para mejorar la detección de amenazas en sus entornos Microsoft.
Consecuencias:
- Tiempos de respuesta reducidos en un 52 % mediante automatización e integración de playbooks.
- Se logró un aumento del 47 % en visibilidad en las pilas de Microsoft 365, Cisco y Palo Alto.
- Cobertura MITRE ATT&CK ampliada en un 275 %.6
4. IA agéntica como herramienta de ataque
La mayoría de la cobertura de la IA agéntica en seguridad se centra en la defensa, pero las mismas capacidades ahora están documentadas en operaciones ofensivas.
Ejemplo real: GTG-1002
En noviembre de 2025, el equipo de inteligencia de amenazas de Anthropic informó haber interrumpido lo que describió como la primera campaña de ciberespionaje orquestada por IA en gran parte autónoma, atribuida a un presunto grupo patrocinado por el estado chino al que rastrearon como GTG-1002.7 La campaña involucró intentos de intrusión casi simultáneos contra aproximadamente 30 objetivos, incluyendo empresas tecnológicas, instituciones financieras, fabricantes químicos y agencias gubernamentales, con varios compromisos confirmados antes de que se detuviera la actividad.
Lo que distingue esto de los ataques anteriores asistidos por IA es el grado de autonomía. Según el informe, el actor de amenazas utilizó una herramienta de codificación agéntica para ejecutar un estimado del 80–90 % de las operaciones tácticas de forma independiente, a tasas de solicitud no alcanzables por operadores humanos. La IA manejó el trabajo a lo largo del ciclo de vida de la intrusión:
- Reconocimiento: enumerando servicios internos dentro de las redes atacadas sin dirección humana paso a paso.
- Descubrimiento y explotación de vulnerabilidades: identificando debilidades en objetivos seleccionados por humanos y explotándolas en operaciones en vivo.
- Post-explotación: movimiento lateral, recolección de credenciales, análisis de datos y exfiltración.
El informe también señaló limitaciones. La IA ocasionalmente alucinaba credenciales o afirmaba tener acceso a información que era pública, lo que los autores citaron como un obstáculo restante para ataques totalmente autónomos.
IA agéntica y operaciones de seguridad (SecOps) explicadas
Las operaciones de seguridad (SecOps) son un enfoque colaborativo entre los equipos de seguridad de TI y operaciones de TI centrado en identificar, detectar y responder de forma proactiva a las amenazas cibernéticas.
El problema:
Los equipos de SecOps enfrentan una fatiga grave ya que manejan grandes volúmenes de datos de sistemas diversos y amenazas en rápida evolución, mientras navegan por estructuras organizacionales complejas y requisitos de cumplimiento.
Cómo ayuda la IA agéntica:
La IA es especialmente efectiva en “tareas de razonamiento” como analizar alertas, realizar investigaciones predictivas y sintetizar datos de herramientas.
Así, los agentes de IA en SecOps pueden ayudar a automatizar tareas que requieren análisis y toma de decisiones en tiempo real, como phishing, malware, brechas de credenciales, movimiento lateral y respuesta a incidentes.
Por ejemplo, estas herramientas pueden entrenarse en bases de conocimiento MITRE ATT&CK para imitar la experiencia de analistas humanos o usar playbooks de respuesta a incidentes para:
- enriquecer alertas
- detectar sistemas afectados
- aislar/clasificar sistemas infectados
- crear informes de incidentes
Herramientas de IA agéntica para ciberseguridad, como Trase, pueden automatizar gran parte del trabajo de cumplimiento para estándares como SOC 2 y HIPAA.8
Fuente: SCALE9
Casos de uso reales: IA agéntica en AppSec
5. Identificación de riesgos
La IA agéntica analiza continuamente el entorno para detectar vulnerabilidades en aplicaciones y bases de código mediante descubrimiento externo e interno. Los agentes de IA pueden ejecutar descubrimiento externo e interno para identificar amenazas:
Descubrimiento externo:
- almacenar y clasificar datos sobre sus aplicaciones y APIs.
- escanear servidores web expuestos.
- descubrir puertos abiertos en direcciones IP con acceso a Internet.
Descubrimiento interno:
- Evaluar configuraciones en tiempo de ejecución, identificar problemas y priorizar.
- Visualización de accesibilidad y funcionalidad de API
- Visualización y uso de App-API
- Monitorización de carga de trabajo de API sin agente en AWS y Azure
- Análisis de volumen y patrones de tráfico de aplicaciones
6. Creación y adaptación de pruebas de aplicaciones
Los agentes de IA generan pruebas automáticamente dependiendo de las interacciones del usuario con la aplicación. A medida que los testers o desarrolladores utilizan la herramienta para capturar casos de prueba, la IA monitoriza y crea scripts de prueba.
Si la interfaz de usuario de la aplicación cambia (por ejemplo, el ID de un elemento cambia o el diseño cambia), el agente de IA puede identificar estos cambios y personalizar los scripts de prueba para evitar fallos.
7. Ejecución dinámica de pruebas de aplicaciones
La IA agéntica ejecuta continuamente pruebas en contextos variados (por ejemplo, en múltiples navegadores y dispositivos) sin interacción humana. Los agentes de IA pueden programar pruebas y analizar el comportamiento de la aplicación de forma autónoma para garantizar una cobertura de pruebas completa.
También pueden personalizar dinámicamente los parámetros de prueba, como copiar diferentes entradas de datos de usuario o cambiar las condiciones de red, para permitir un análisis más exhaustivo de la aplicación.
8. Informes autónomos y sugerencias predictivas
Los agentes de IA pueden examinar los datos de pruebas de aplicaciones de forma autónoma, encontrando patrones de fallos y determinando las causas principales.
Por ejemplo, si numerosas pruebas fallan debido al mismo problema, el agente de IA combinará los hallazgos y destacará el problema subyacente al equipo de desarrollo.
Basándose en datos de pruebas anteriores, los agentes de IA pueden predecir posibles fallos futuros y recomendar metodologías de pruebas de aplicaciones para abordar estos problemas.
9. Remediación autónoma
La IA agéntica automatiza el proceso de remediación, por ejemplo, si el agente de IA detecta que ciertas pruebas son redundantes o no cubren adecuadamente riesgos específicos, puede optimizar el conjunto de pruebas eliminando pruebas no relacionadas y priorizando aquellas que se centran en áreas más relevantes.
El agente de IA también puede detectar cuándo una prueba falla debido a errores menores (como un cambio menor en la interfaz de usuario) y “remediar” el script de prueba para que cumpla con la aplicación revisada, eliminando falsos positivos y requiriendo menos intervención manual.
10. Pruebas de penetración automatizadas
La IA agéntica automatiza el proceso de pruebas de penetración, incluida la identificación de vulnerabilidades, la generación de planes de ataque y la ejecución. Algunas prácticas clave de los agentes de IA en iniciativas de pentesting incluyen:
Simulación de adversario en tiempo real:
- Realizar simulaciones como ataques de red, aplicaciones e ingeniería social.
- Ejecutar pruebas de penetración como DAST (pruebas dinámicas de seguridad de aplicaciones).
Reconocimiento:
- Escanear Internet, incluida la web profunda, oscura y superficial, para detectar activos de TI expuestos (por ejemplo, puertos abiertos, buckets de nube mal configurados).
- Integrar OSINT (inteligencia de fuentes abiertas) e inteligencia de amenazas para mapear superficies de ataque.
IA agéntica y seguridad de aplicaciones (AppSec) explicada
La seguridad de aplicaciones implica proteger las aplicaciones a lo largo de su ciclo de vida, desde el diseño y desarrollo hasta el despliegue y el mantenimiento continuo.
El problema:
A medida que las aplicaciones alojadas se volvieron cada vez más importantes como impulsores clave de ingresos para las empresas de escala pública, también lo hizo su seguridad. Esto creó tendencias recientes como:
- Uso generalizado de la nube, aplicaciones SaaS ha movido la seguridad más temprano en el SDLC para minimizar los riesgos antes de que lleguen a producción.
- Con el aumento de la programación nativa de la nube, ha habido más migración a plataformas de terceros como AWS, por lo que la superficie de ataque de las aplicaciones se vuelve más expuesta a vulnerabilidades.
Como resultado del aumento de la superficie de ataque y el potencial, los atacantes desarrollaron métodos nuevos e ingeniosos para comprometer aplicaciones.
Cómo ayuda la IA agéntica:
La IA agéntica puede ayudar a mejorar AppSec integrando y automatizando varias etapas del ciclo de vida de la aplicación para mejorar la seguridad, incluyendo la monitorización de sus pipelines de CI/CD o la automatización de pruebas de penetración.
Añadir como fuente preferidaDesafíos de la IA agéntica en ciberseguridad
1. Falta de transparencia e interpretabilidad
- Toma de decisiones opaca: Las operaciones y sistemas de seguridad impulsados por IA pueden ser difíciles de interpretar, especialmente cuando modifican políticas de seguridad o decisiones por sí mismos. Los ingenieros de pruebas y desarrolladores pueden tener dificultades para comprender por qué se tomaron ciertas acciones o para confirmar las decisiones de la IA.
- Confianza y fiabilidad: Sin explicaciones explícitas, puede ser difícil para los equipos confiar en las recomendaciones o revisiones de la IA, lo que lleva a la resistencia a implementar soluciones de IA agéntica.
2. Preocupaciones sobre la calidad de los datos
- Dependencia de datos: Los agentes de IA necesitan datos diversos para aprender a realizar acciones de manera efectiva. Datos insuficientes o sesgados pueden resultar en acciones falsas o previsiones incorrectas.
- Casos límite en configuraciones de sistemas: Si la infraestructura de TI de una organización incluye configuraciones a medida o combinaciones de software raras, un agente de IA puede malinterpretar comportamientos normales como anomalías o no detectar amenazas genuinas.
3. Mantener la fiabilidad
- Falsos positivos y negativos: La IA agéntica puede clasificar incorrectamente datos relacionados con SecOps o AppSec, resultando en falsos positivos (informar de errores cuando no existen) o falsos negativos (no detectar problemas reales). Estos errores pueden comprometer la confianza en el sistema y requerir intervención manual para validar los resultados.
- Problemas de adaptabilidad: Aunque la IA agéntica está diseñada para adaptarse a los cambios, ciertos cambios complejos o inesperados en la aplicación (por ejemplo, rediseños importantes de la interfaz de usuario o cambios en la arquitectura del backend) aún pueden causar fallos en las operaciones de seguridad, requiriendo intervención humana para actualizar los modelos de IA.
4. Complejidad de implementación
- Dificultad para asegurar la integración de API: Los agentes de IA frecuentemente interactúan con sistemas externos; por lo tanto, proteger las APIs es crítico. La tokenización de API y la validación son medidas que ayudan a asegurar una interacción fiable.
- Entrenamiento y despliegue: Los modelos de IA agéntica deben entrenarse con grandes conjuntos de datos y escenarios diversos para ser efectivos, lo que puede ser intensivo en recursos y tiempo.
5. Requisitos de supervisión humana
- Monitorización continua: Si bien la IA agéntica tiene como objetivo reducir la participación humana, aún requiere monitorización y mantenimiento para garantizar que funcione correctamente. Los equipos de seguridad necesitan verificar los resultados de la IA, ajustar los modelos según sea necesario e intervenir cuando la IA encuentre escenarios complejos o inesperados.
- Requisitos de personal altamente cualificado: Gestionar la IA agéntica requiere experiencia en IA, aprendizaje automático o seguridad de aplicaciones. Las organizaciones pueden tener dificultades para encontrar o formar personal con las habilidades necesarias.
Reflexiones finales sobre la IA agéntica para ciberseguridad
La IA agéntica tiene el potencial de mejorar las operaciones de ciberseguridad mejorando los tiempos de respuesta y aliviando la carga de los equipos de seguridad.
Sin embargo, desafíos como la falta de transparencia, las preocupaciones sobre la calidad de los datos y los falsos positivos/negativos pueden aumentar la dificultad general de desplegar soluciones de IA agéntica de manera efectiva.
La implementación exitosa de la IA agéntica en operaciones requiere personal cualificado, monitorización y actualizaciones continuas, procesos efectivos de validación de falsos positivos y atención a otros desafíos clave.
Lecturas adicionales
- Señales de expansión descontrolada de agentes de IA y lista de verificación para gestionarla
- Vulnerabilidad de agentes de IA
- Los más de 30 principales agentes de IA industriales a seguir
- Trampas de agentes de IA: 20 incidentes reales
Cita esta investigación
Elige el formato que se ajuste al lugar donde vas a publicar. Pegar la versión con enlace en tu CMS conserva el enlace de retroceso.
@misc{dilmegani2026,
author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
title = {{IA agéntica para ciberseguridad: 10 casos de uso y ejemplos}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Recuperado el 30 de Julio de 2026}
}Enlaces de referencia
El trabajo de Cem ha sido citado por publicaciones globales líderes como Business Insider, Forbes, Washington Post, firmas globales como Deloitte, HPE y ONG como el Foro Económico Mundial y organizaciones supranacionales como la Comisión Europea.
A lo largo de su carrera, Cem se ha desempeñado como consultor tecnológico, comprador de tecnología y emprendedor tecnológico. Asesoró a empresas en sus decisiones tecnológicas en McKinsey & Company y Altman Solon durante más de una década. También publicó un informe de McKinsey sobre digitalización.
Lideró la estrategia tecnológica y las adquisiciones de una empresa de telecomunicaciones reportando directamente al CEO. También lideró el crecimiento comercial de la empresa de tecnología profunda Hypatos, que alcanzó ingresos recurrentes anuales de 7 dígitos y una valoración de 9 dígitos desde 0 en 2 años. El trabajo de Cem en Hypatos fue cubierto por publicaciones tecnológicas líderes como TechCrunch y Business Insider.
Cem habla regularmente en conferencias internacionales de tecnología. Se graduó de la Universidad de Bogazici como ingeniero informático y tiene un MBA de Columbia Business School.
Comentarios 1
Comparte tus ideas
Tu dirección de correo electrónico no será publicada. Todos los campos son obligatorios. Los comentarios se dejan en su idioma original.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.