La carta abierta sobre la ciberdefensa colectiva establece una arquitectura de decisiones que muchos equipos de seguridad aún no han formalizado:
“Usa modelos capaces y de menor costo para una cobertura amplia, y aplica capacidades de vanguardia a los problemas más difíciles.”
Esto no es solo una recomendación de costos. Es una arquitectura de seguridad por derecho propio: amplia cobertura con modelos rápidos y baratos, y profundidad con modelos de vanguardia solo donde realmente se necesita. Esta guía te ofrece un marco concreto para decidir qué tarea pertenece a cada nivel.
Por qué “usar el modelo más grande para todo” es un fallo de diseño
Ejecutar el modelo disponible más potente en cada alerta que genera su SIEM es lento, costoso y —en contra de la intuición— menos seguro: consume su presupuesto y su latencia justo cuando más necesita velocidad. La arquitectura adecuada es una canalización de triaje por niveles, similar a cómo un SOC humano escala desde un analista de L1 hasta uno de L3.
Nivel 1: modelos de bajo costo para el triaje masivo
Tareas que pertenecen a este lugar: gran volumen, patrones conocidos, bajo riesgo ante un falso negativo costoso.
- Clasificación de la alerta inicial (¿es esto ruido, un falso positivo probable o necesita revisión?).
- Normalización y enriquecimiento de registros.
- Detección de patrones de phishing conocidos (dominios similares, cabeceras sospechosas).
- Resúmenes de tickets automatizados para el analista humano.
Características a buscar en el modelo para este nivel: baja latencia, bajo costo por token, buen rendimiento de clasificación (sin necesidad de razonamiento profundo).
Python
# Ejemplo simplificado: clasificación de alertas con un modelo de bajo coste
def triage_alert(alert):
response = client.messages.create(
modelo="modelo de bajo costo",
max_tokens=200,
mensajes=[{
"papel": "usuario",
"contenido": f"Clasifica esta alerta como NOISE, REVIEW o CRITICAL. Alerta: {alerta}"
}]
)
devolver parse_classification(response)Nivel 2 — Escalada condicional
Entre el nivel de bajo costo y el nivel de vanguardia, necesitas una regla de decisión explícita, no un “en caso de duda”. Disparadores de escalada de ejemplo:
- La clasificación de Nivel 1 devolvió “REVISIÓN” o “CRÍTICO”.”
- El activo involucrado está en su lista de infraestructura esencial (definida en la publicación de auditoría de deuda técnica).
- El patrón no coincide con ninguna firma conocida (posible ataque nuevo).
- Hay indicios de que el ataque en sí está utilizando inteligencia artificial generativa (más información al respecto a continuación).
Nivel 3: modelos de vanguardia para los casos difíciles
Reserva el modelo más capaz para lo que realmente lo necesita:
- Análisis de malware novel o polimórfico, lo que requiere razonar sobre el comportamiento, no solo sobre las firmas.
- Investigación de incidentes complejos con múltiples fuentes de evidencia para correlacionar.
- Red teaming y simulación de ataques asistidos por IA (ver la publicación dedicada sobre este tema).
- Generación de libros de jugadas de respuesta para escenarios sin precedentes en su organización.
- Revisión de código generado por IA en componentes de alta criticidad (consulte la publicación dedicada).
Diseñando la canalización completa
Alerta entrante
│
▼
[Modelo de bajo costo (Nivel 1)] ── RUIDO ──► Archivo (con muestreo aleatorio para control de calidad)
│
REVISIÓN / CRÍTICO / patrón desconocido
│
▼
[Reglas de escalamiento (Nivel 2)] ── no cumple los criterios ──► Analista humano de Nivel 1
│
cumple los criterios de escalamiento
│
▼
[Modelo de frontera (Nivel 3)] ──► Análisis profundo + recomendación
│
▼
Analista humano de Nivel 2/3 (decisión final — el modelo no ejecuta acciones de forma autónoma en casos críticos)Punto importante: en el nivel 3, el modelo recomienda, no ejecuta de forma autónoma acciones irreversibles (isolar un host de producción, revocación masiva de credenciales). Ese es el papel del humano, o de la automatización con aprobación explícita, algo directamente vinculado a la trazabilidad de la identidad agéntica que cubrimos en otra publicación de esta serie.
Medir si la arquitectura está funcionando
- Costo por alerta procesadadebería disminuir significativamente en comparación con usar frontier para todo.
- Tiempo hasta la contención en casos críticos: no debería empeorar — el nivel 3 debería activarse rápidamente cuando importa.
- Tasa de falsos negativos en el nivel 1auditar periódicamente con muestreo manual para confirmar que el modelo de bajo costo no está dejando pasar cosas que deberían haberse escalado.
Lista de verificación de implementación
- ☐ Asigna tus tareas de seguridad actuales a los 3 niveles
- ☐ Definir reglas de escalamiento explícitas (no discrecionales)
- ☐ Implementar el nivel 1 con un modelo de bajo costo para el triaje de alto volumen
- ☐ Reservar el modelo de vanguardia solo para los casos que cumplan con los criterios de escalamiento
- ☐ Garantizar que las acciones irreversibles requieran aprobación humana o automatización auditada
- ☐ Medir el coste, el tiempo de contención y la tasa de falsos negativos periódicamente
Parte de una serie sobre cómo poner en práctica los principios de Carta abierta de OpenAI sobre la defensa cibernética colectiva (Agosto de 2026). Volver a la guía completa.
