Delegar el triaje de alertas en un agente de IA plantea un problema de precisión. Orquestar a varios agentes especializados plantea uno distinto y más incómodo: quién decide, quién supervisa y, sobre todo, quién puede parar el sistema a mitad de ejecución.
Un agente de IA que clasifica alertas de nivel 1 es un problema acotado. O acierta con el triaje o no, y la métrica es medible. En cuanto se pasa de un agente a varios que colaboran, uno que enriquece, otro que correlaciona, otro que consulta inteligencia de amenazas y otro que propone contención, la pregunta deja de ser sobre precisión. Pasa a ser sobre control. Y el control de un sistema autónomo es, antes que nada, una cuestión de gobernanza.
Este es el punto en el que la conversación sobre IA en el SOC suele saltarse. Se discute qué modelo triará mejor y se pospone la pregunta que un comité de riesgo hará primero: si el sistema toma una decisión equivocada a las tres de la mañana, ¿cómo lo sabemos, cómo lo auditamos y cómo lo paramos?
Un patrón conocido, un riesgo nuevo
La arquitectura dominante para coordinar varios agentes es el patrón orchestrator-worker. Anthropic lo describió en detalle en su artículo de ingeniería sobre sistemas multi-agente, publicado en junio de 2025: un agente líder planifica, descompone la tarea y delega en subagentes especializados que trabajan en paralelo, cada uno con su propia ventana de contexto. Llevado a un SOC, el orquestador reparte una alerta compleja entre subagentes que la trabajan por su cuenta y devuelven hallazgos que el líder integra.
El patrón funciona. También trae dos peajes que conviene conocer antes de firmar nada. El primero es económico. Según los datos que publicó Anthropic, un sistema multi-agente consume alrededor de quince veces más tokens que una conversación de chat normal. Para un SOC que procesa millones de eventos al día, aplicar orquestación multi-agente a todo el flujo puede ser sencillamente inviable en coste. Tiene sentido reservarlo para investigaciones complejas de alto valor, no para el triaje masivo de bajo nivel.
El segundo peaje es de fiabilidad. Los sistemas agénticos son stateful y los errores se acumulan a lo largo de la ejecución. Un subagente que elige mal una fuente al principio puede arrastrar una conclusión errónea hasta la fase de contención. En un SOC eso no es un bug menor: es una acción defensiva basada en una premisa falsa.
Sin observabilidad no hay auditoría defendible
El primer pilar de gobernanza es la observabilidad, y no es opcional. Anthropic fue explícito en que solo pudieron diagnosticar por qué fallaban sus agentes cuando añadieron trazado completo de producción, monitorizando los patrones de decisión y la estructura de interacción entre agentes.
En un SOC ese requisito se vuelve más exigente por una razón regulatoria. Cada acción del sistema debe ser reconstruible: qué herramienta usó cada agente, qué fuente consultó, qué evidencia pesó y por qué escaló o cerró. Si un agente aísla un host o bloquea una cuenta y mañana hay que justificar esa decisión ante un cliente o un regulador, la respuesta "lo decidió el modelo" no sirve. La trazabilidad de la decisión es lo que separa un SOC autónomo auditable de una caja negra que nadie puede defender.
Hay un matiz de evaluación que se deriva de esto. Los sistemas multi-agente son no deterministas: los mismos prompts producen ejecuciones distintas, y varios caminos válidos pueden llegar al mismo resultado correcto. Por eso no se puede validar el sistema exigiendo que siga un playbook paso a paso. Se valida por el estado final: ¿se contuvo el incidente?, ¿se atribuyeron bien las evidencias? La observabilidad da los datos; el criterio de éxito es el desenlace, no la coreografía.
El límite de agencia se diseña, no se supone
El segundo pilar es la agencia, y aquí OWASP puso nombre al riesgo central. En su Top 10 for LLM Applications, el riesgo LLM06 se llama precisamente Excessive Agency: el peligro que surge cuando a un sistema basado en LLM se le concede demasiada funcionalidad, demasiados permisos o demasiada autonomía. La primera guía de la Agentic Security Initiative de OWASP, "Agentic AI – Threats and Mitigations", publicada en febrero de 2025, extiende ese análisis a los sistemas de varios agentes.
La mitigación es de diseño, no de confianza. Principio de mínimo privilegio en las herramientas que cada agente puede invocar. Límites de tarea claros por subagente. Y, sobre todo, intervención humana obligatoria para las acciones de alto impacto. En nuestra experiencia, la línea correcta no está en si la IA puede ejecutar una contención. Está en cuáles ejecuta sola y cuáles requieren una mano humana en el gatillo. Aislar un endpoint sospechoso en una red de laboratorio es una cosa. Bloquear una cuenta de servicio en producción o cortar el tráfico de un sistema crítico es otra, y ahí el human-in-the-loop no es una cortesía, es un control.
De ese principio se deriva la interrumpibilidad. Los agentes mantienen un estado, así que pararlos en seco puede corromper una investigación a medias. Anthropic gestiona esto con checkpoints regulares y capacidad de reanudar desde el punto de fallo en lugar de reiniciar. Un SOC autónomo necesita lo mismo: poder pausar o detener a un agente durante una acción sin dejar el sistema en un estado inconsistente. El kill switch que no puede accionarse sin romper algo no es un kill switch.
El defensor es también superficie de ataque
Hay una asimetría que un SOC basado en IA no puede ignorar. El sistema que defiende es, a la vez, un objetivo. La cadena que va del modelo a las herramientas externas, pasando por el protocolo que las conecta, es atacable. OWASP sitúa la inyección de prompts como el primer riesgo de su Top 10 de 2025, y la iniciativa agéntica ha dedicado guías específicas a la seguridad del Model Context Protocol, el punto donde el agente se conecta al SIEM, al EDR o al sistema de ticketing.
Para modelar esa superficie existe MITRE ATLAS, la base de conocimiento pública de tácticas y técnicas adversarias contra sistemas de IA, construida con la misma lógica que ATT&CK. Donde OWASP ofrece los diez riesgos de aplicación, ATLAS ofrece la matriz de técnicas con casos reales. Un SOC que introduce agentes sin modelar su propia exposición está ampliando la superficie de ataque mientras cree que solo la está defendiendo.
Gobernar el riesgo, no solo operarlo
Todo lo anterior necesita un marco que lo sostenga ante quien rinde cuentas. El AI Risk Management Framework del NIST, publicado en enero de 2023 con el identificador AI 100-1, organiza esa tarea en cuatro funciones: Govern, Map, Measure y Manage, con Govern como función transversal que fija políticas, roles y responsabilidad. El perfil específico para IA generativa, NIST AI 600-1 de julio de 2024, añade los riesgos propios de esta tecnología. Es el andamiaje natural para justificar ante un comité la introducción de agentes en operaciones de seguridad, porque traduce decisiones técnicas en lenguaje de riesgo gobernado.
Conviene tener presente el clima de fondo. Gartner predijo en junio de 2025 que más del 40% de los proyectos de IA agéntica se cancelarán antes de que acabe 2027, por costes crecientes, valor de negocio poco claro o controles de riesgo inadecuados. La tercera causa es la que nos ocupa. Los proyectos que sobrevivan no serán los que tengan el modelo más capaz, sino los que hayan resuelto la gobernanza desde el diseño.
Un SOC multi-agente maduro se reconoce en tres capacidades que no dependen del modelo: se puede observar cada decisión, se puede acotar la agencia de cada agente y se puede parar el sistema sin romperlo. La precisión del triaje es un problema de ingeniería que mejora solo con el tiempo. La gobernanza es una decisión de arquitectura que hay que tomar antes de conectar el primer agente a producción.
