En una empresa de ciberseguridad, la parte difícil del trabajo casi nunca es la parte que consume el tiempo. Un analista de SOC dedica buena parte de su turno a abrir alertas que ya sabe de antemano que son ruido, copiar una IP en tres portales distintos para ver si está reportada, pegar el resultado en el ticket y cerrarlo. Un consultor que acaba de terminar un pentest pasa dos días transformando notas y capturas en un informe con el formato que exige el cliente. Y el responsable comercial se queda bloqueado cada vez que un cliente potencial envía un cuestionario de seguridad de ciento cuarenta preguntas cuyas respuestas ya existen, dispersas entre políticas internas, certificados y correos antiguos. Nada de esto requiere criterio experto: requiere horas. Ese es exactamente el hueco donde encajan los agentes de IA en este sector, siempre con una regla que no se negocia — el agente detecta, ordena y propone; las decisiones críticas las aprueba una persona.
Agente de triaje de alertas del SOC
Es el agente que más horas libera en un SOC gestionado. Recibe cada alerta que genera el SIEM o el EDR y hace el trabajo previo que hoy hace el analista de nivel 1 a mano: identifica de qué activo y de qué cliente procede, la cruza con alertas similares de los últimos días, comprueba si ese mismo patrón se cerró antes como falso positivo y redacta un resumen legible de qué ha pasado y por qué podría importar.
Se conecta al SIEM (Splunk, Wazuh, Microsoft Sentinel o el que use la casa), al EDR, a la CMDB para saber qué activo es cada máquina y al sistema de tickets donde vive la cola de trabajo. Lo que entrega no es una decisión, es un ticket ya enriquecido y con una prioridad propuesta.
El ahorro es doble. Por un lado, los minutos de contexto que hoy se repiten alerta a alerta. Por otro, y más importante, la calidad del turno: cuando el ruido llega ya clasificado, el analista dedica su atención a las alertas que de verdad la merecen en lugar de agotarla en las primeras cien. La escalada, la contención y cualquier acción sobre el entorno del cliente siguen siendo decisión humana.
Agente de enriquecimiento de indicadores
Es el complemento natural del anterior y muchas veces se implanta junto a él. Cuando aparece un indicador de compromiso —una IP, un dominio, un hash, un remitente sospechoso—, este agente hace la ronda de consultas que hoy hace el analista abriendo pestañas: reputación en las fuentes de inteligencia que la empresa tenga contratadas, coincidencias con la plataforma CTI interna, histórico de apariciones de ese mismo indicador en otros clientes del propio SOC.
Se conecta a las fuentes de threat intelligence, a la plataforma interna (MISP o equivalente) y al repositorio histórico de incidentes de la propia empresa, que suele ser el activo más valioso y el peor explotado.
Ahorra la fragmentación: el analista deja de saltar entre cinco interfaces y recibe una ficha única del indicador. Y evita un error concreto y frecuente — que un indicador ya visto y ya documentado en un incidente de hace ocho meses se investigue otra vez desde cero porque nadie recordaba que estaba ahí.
Agente de seguimiento de vulnerabilidades y parcheo
El escáner de vulnerabilidades no es el problema; el problema es lo que pasa después. Este agente toma la salida de cada escaneo, la contrasta con el inventario para saber qué activo es de qué cliente y quién lo administra, descarta lo que ya está en curso, agrupa las vulnerabilidades que se resuelven con un mismo parche y abre o actualiza los tickets correspondientes con el contexto ya escrito.
Se conecta al escáner (Nessus, Qualys, OpenVAS), a la CMDB o inventario de activos y al ticketing o al Jira del equipo de remediación. También al calendario de ventanas de mantenimiento acordadas con cada cliente, para no proponer plazos imposibles.
Lo que ahorra es la conciliación manual entre informes sucesivos: saber qué es nuevo, qué sigue abierto y qué se resolvió desde el escaneo anterior. Es un trabajo tedioso, propenso a duplicados y a vulnerabilidades que se pierden entre dos informes, y es exactamente el tipo de tarea que un agente hace sin fatiga.
Agente de redacción de informes técnicos
Cada auditoría, pentest o revisión de configuración termina en un documento. Este agente parte de las evidencias que el consultor ya ha recogido —hallazgos, capturas, salidas de herramienta, notas— y monta el borrador completo en la plantilla de la empresa: resumen ejecutivo, hallazgos ordenados por criticidad, descripción técnica, impacto y recomendación, con la redacción homogénea entre todos los consultores del equipo.
Se conecta al repositorio donde el equipo deja las evidencias, a la plantilla corporativa y, si existe, a la biblioteca de hallazgos recurrentes de trabajos anteriores para reutilizar descripciones ya validadas.
Ahorra los uno o dos días de maquetación y redacción que hoy separan el final del trabajo técnico de la entrega al cliente. El consultor sigue revisando, corrigiendo y firmando el informe: el agente le quita la página en blanco, no el juicio profesional.
Agente de respuesta a cuestionarios de seguridad
Los cuestionarios que envían los clientes —due diligence, requisitos del ENS, controles de ISO 27001, anexos de un pliego— son casi siempre las mismas preguntas con otras palabras. Este agente localiza en la documentación interna la respuesta que ya se dio antes, la adapta a la formulación concreta de esta pregunta y deja marcado lo que no encuentra o lo que ha cambiado desde la última vez.
Se conecta al gestor documental donde viven políticas, certificados y evidencias, al histórico de cuestionarios ya respondidos y al CRM, para dejar el borrador asociado a la oportunidad comercial correspondiente.
El ahorro aquí es muy visible: un cuestionario que bloqueaba a una persona técnica durante dos o tres jornadas pasa a ser una revisión de unas horas. Y reduce un riesgo real — que dos cuestionarios distintos respondan cosas distintas sobre el mismo control.
Agente de reporting recurrente a cliente
Los servicios gestionados se venden con un informe mensual detrás. Este agente reúne los datos del periodo —incidentes abiertos y cerrados, tiempos de respuesta frente al SLA comprometido, vulnerabilidades remediadas, tendencias respecto al mes anterior— y genera el borrador de informe de cada cliente con su formato, su lenguaje y sus métricas.
Se conecta al ticketing, al SIEM, a la herramienta de gestión de vulnerabilidades y a la ficha de SLA de cada contrato.
Ahorra los días que el equipo pierde a final de mes exportando datos y montando presentaciones, y aporta algo que suele echarse en falta: consistencia. Todos los clientes reciben el mismo nivel de detalle, también los pequeños, que son precisamente los que hoy reciben el informe más apresurado.
Por dónde empezar
El primer agente casi nunca debería ser el de triaje del SOC, aunque sea el más atractivo. Toca el proceso operativo más sensible de la empresa y exige un periodo largo de contraste antes de que el equipo confíe en su clasificación. El punto de entrada habitual es el agente de reporting recurrente o el de cuestionarios de seguridad: son procesos internos, sin riesgo operativo, con un resultado que se revisa antes de salir y un ahorro medible desde el primer mes. Si quieres entender antes qué es y qué no es esta tecnología, conviene leer qué es un agente de IA y qué puede hacer un agente de IA en tu empresa concreta, y después revisar los primeros pasos para implementar IA en tu empresa.
Conclusión
Una empresa de ciberseguridad tiene una ventaja de partida sobre otros sectores: ya sabe pensar en términos de riesgo, trazabilidad y control de acceso, que es justo lo que un despliegue de agentes bien hecho necesita. La clave está en empezar por donde el error es reversible y la revisión humana es natural, y ampliar hacia la operación solo cuando el equipo ya confía en lo que el agente entrega. Si quieres ver qué encaja en tu caso concreto, pide un diagnóstico gratuito y lo miramos con tus procesos delante.