El pasado mes de febrero presentamos nuestro informe de tendencias de ciberseguridad para 2026, donde analizamos el panorama de amenazas de 2025 y la proyección que tenemos para 2026. El resultado era claro: hay poco margen para la ambigüedad y las empresas deben apostar por adoptar la ciberseguridad desde lo más profundo de sus procesos y de forma transversal a todos ellos.
+38%
incremento de alertas detectadas en el SOC Atlantis (España y Latam)
100.000+
alertas analizadas para nuestro Informe de Tendencias 2025
4,8M
déficit mundial de profesionales de ciberseguridad
Ahora en septiembre, no sólo validamos nuestro análisis, sino que los resultados refuerzan todo aquello que presentamos: un incremento en las alertas detectadas y un crecimiento sostenido de los casos de severidad alta, y actores maliciosos que ya emplean IA generativa y agéntica para automatizar la explotación de vulnerabilidades y atacar en horario nocturno y festivo. Si bien Mithos y similares no se han liberado públicamente, las capacidades de los actuales modelos ya muestran un impacto muy superior a lo que estábamos previniendo, haciendo que la gestión de vulnerabilidades sea uno de los grandes retos de las empresas, pues el problema ya no es sólo la detección de las mismas, sino tener la capacidad de cerrarlas o mitigarlas.
Ante este panorama, el SOC tradicional, basado en triaje manual, reglas estáticas y escalabilidad limitada por el número de analistas, no es sostenible ni eficaz para las empresas.
La respuesta de Sofistic pasa por combinar dos capacidades complementarias: los agentes de IA y workflows automatizados.
Agente IA no es lo mismo que IA agéntica
Conviene precisar los términos antes de seguir.
Agente IA
Componente autónomo con un objetivo acotado: percibe su entorno (alertas, logs, telemetría), razona y actúa sobre una tarea concreta, como el triaje, el enriquecimiento o la contención.
IA agéntica
El paradigma completo: múltiples agentes colaborando y orquestándose entre sí, encadenando decisiones y adaptándose al contexto en tiempo real. Es la diferencia entre el jugador y la estrategia del equipo.
Cuando un SOC adopta este paradigma de forma estructural, deja de ser un SOC con IA para convertirse en un SOC agéntico, y esta diferencia es clave para dar el salto evolutivo. En nuestro servicio MDR esta arquitectura ya es una realidad operativa.
Capa de operación
Actualmente contamos con la operación agentes de análisis directo especializado por tecnología (entre ellos para CrowdStrike, Darktrace, Microsoft o Exabeam) y, en determinados casos, por cliente.
De esta manera, tenemos un conjunto de agentes IA que evalúan cada alerta en el momento de recibirla, actuando según las directrices o consideraciones en cada una de estas tecnologías.
Si además el agente IA está especializado para un cliente, el comportamiento de éste será específico a las necesidades que nos hayan solicitado.
Agentes de correlación
Además, disponemos de otro tipo de agente, denominados "agentes de correlación", que son capaces de responder a preguntas que un análisis aislado no puede resolver: ¿presenta este equipo más alertas relacionadas en las últimas dos semanas?, ¿existe conexión con alertas en otros equipos del entorno?
Capa de supervisión
Por encima de la capa de operación, disponemos de una capa de supervisión con agentes dedicados por tecnología y usando un modelo LLM diferente para verificar que el procesamiento de los primeros es correcto.
Orquestador
Finalmente, un orquestador gobierna el conjunto de agentes.
Threat hunting
Dado que disponemos de un equipo de Threat Intel & Hunters, también aplicamos agentes al threat hunting: analizan y filtran automáticamente los IOC ingeridos desde nuestras plataformas OpenCTI y MISP, descartando falsos positivos antes de que consuman tiempo de analista.
Workflows: la capacidad de la inmediatez
Si los agentes aportan razonamiento, los workflows aportan velocidad y consistencia.
Son flujos de respuesta flexibles que se ajustan dinámicamente al tipo y la severidad de la amenaza, se integran de forma nativa con el stack completo del cliente (SIEM, EDR, NDR, SASE, firewalls, Microsoft 365) mediante APIs bidireccionales.
Dado que son flujos especializados, su cobertura debe graduarse por riesgo:
Crítico
< 5 min
Respuesta inmediata automatizada, sin intervención humana previa.
Alto
Semiauto
Contención semiautomática con validación humana.
Medio
Proactivo
Enriquecimiento proactivo, sin acción de contención inmediata.
Todo ello orquestado en modo "as a Service" para que nuestros clientes tengan la mayor tranquilidad y adaptación a sus necesidades.
La fórmula del SOC moderno
Ninguno de los dos elementos basta por sí solo: un agente que razona pero no puede actuar se queda en diagnóstico; un workflow sin inteligencia contextual ejecuta con rigidez. La fórmula que aplicamos en Sofistic suma cuatro componentes:
01
Agentes IA
Triaje automático, análisis de contexto y decisión.
02
Flujos avanzados
Orquestación SOAR, rutas dinámicas e integración multiherramienta.
03
Playbooks
Procedimientos validados y cumplimiento normativo.
04
Threat Intelligence
Contextualización y proactividad.
Reducción drástica del MTTR: contención en minutos frente a las horas o días del modelo manual, con analistas centrados en las amenazas reales en lugar de en el ruido.
«Los agentes IA son multiplicadores, no reemplazos de los analistas. Automatizamos la tarea, no la responsabilidad.»
Hacia dónde vamos: preemptive cybersecurity
El SOC agéntico resuelve la detección y la respuesta, pero nuestra estrategia mira un paso más allá: actuar antes de que el ataque se produzca. Gartner denomina a este enfoque preemptive cybersecurity y lo articula sobre tres pilares:
Deny
Eliminar la superficie de ataque antes de que pueda explotarse.
Disrupt
Romper las cadenas de ataque autónomas en el momento en que se inician.
Deceive
Desviar al adversario hacia señuelos que generan inteligencia accionable y elevan el coste del ataque.
Se estima que la inversión en seguridad preventiva pasará de menos del 5% a cerca del 50% del gasto en seguridad IT en 2030, en un escenario en el que los CVE documentados superarán el millón.
Tres líneas estratégicas
01
VulnOps
Gestión de vulnerabilidades como servicio: descubrimiento de activos, unificación de vulnerabilidades de software, configuración y pentest, y priorización por riesgo de negocio con Threat Intelligence.
02
MDDR
Managed Data Detection and Response: la evolución del MDR hacia la protección del dato — quién accede, comparte o modifica información sensible, caza proactiva de anomalías y protección de los entornos de backup frente al ransomware.
03
Integración total
MDR agéntico, workflows, VulnOps y MDDR bajo un mismo esquema preemptive, de modo que la inteligencia obtenida en cada capa alimente a las demás.
" El SOC del futuro no será el que más alertas procese, sino el que menos necesite procesar porque habrá anticipado el ataque. En Sofistic ya estamos construyéndolo."
Conoce cómo funciona el MDR agéntico de Sofistic
