AI-ASOC：如何设计智能体 SOC 以降低误报并加速事件响应

El problema: demasiadas alertas, poco tiempo para decidir
Un SOC puede recibir cientos o miles de alertas, pero el verdadero desafío no es únicamente detectar actividad sospechosa: es determinar rápidamente qué evidencia merece atención humana y qué acciones pueden ejecutarse sin introducir un riesgo adicional. En la propuesta AI-ASOC, el problema se aborda desde una perspectiva de inteligencia artificial agéntica, combinando razonamiento, validación estructural, explicabilidad y gobernanza.

El documento base reporta que el pipeline baseline evaluado en la Semana 2 presentó una tasa de falsos positivos de 15–18 % y una precisión de 0,64–0,73. La hipótesis de investigación busca comprobar si una arquitectura agéntica puede reducir significativamente esos falsos positivos y, al mismo tiempo, disminuir la latencia del triage.
Principio de diseño
La propuesta no plantea sustituir al analista. Plantea que la IA pueda razonar, validar evidencia y preparar una decisión auditable, dejando el escalamiento humano allí donde la confianza o el impacto del incidente lo requieran.

¿Qué aporta AI-ASOC?
AI-ASOC (AI-Agentic Security Operations Center) se plantea como un framework multiagente para la gestión inteligente de incidentes en instituciones financieras bolivianas. Su novedad está en integrar tres dimensiones que el trabajo identifica como insuficientemente combinadas en los frameworks revisados: razonamiento agéntico multiagente con validación estructural, explicabilidad orientada a auditoría y gobernanza alineada con ASFI/UIF/ISO 27001.
La evidencia preliminar de la Semana 2
El experimento preliminar fue implementado y ejecutado, y aporta evidencia direccional para la hipótesis. Según el documento, el pipeline agéntico con validación estructural redujo la latencia media aproximadamente 60 %, de 94 ms a 37 ms, y llevó los falsos positivos desde 15–18 % hasta 0,4–3 %.
Indicador Baseline / inicial Resultado preliminar AI-ASOC
Latencia media 94 ms 37 ms (~60 % menor)
Tasa de falsos positivos 15–18 % 0,4–3 %
Estos resultados deben interpretarse como evidencia preliminar y no como una validación definitiva. El propio documento identifica limitaciones: prevalencia sintética de 30 %, solo ocho repeticiones por escenario, ausencia de un LLM real en el razonamiento y falta de evaluación cuantitativa de la explicabilidad.
La hipótesis de investigación
La hipótesis alternativa H1 propone que la incorporación de razonamiento agéntico asíncrono, validación estructural y explicabilidad nativa producirá una reducción estadísticamente significativa de la tasa de falsos positivos y de la latencia media de triage frente a un SOAR secuencial basado en reglas, manteniendo un recall operacional de al menos 0,80.
La hipótesis secundaria H1b plantea que la capa de explicabilidad puede incrementar el hit-rate de auditoría frente a una explicación SHAP convencional, tomando como referencia el salto reportado en el trabajo de Lee et al.
Un diseño experimental que permite aislar el efecto de cada componente
El diseño refinado utiliza tres niveles de arquitectura: (a) baseline SOAR secuencial, (b) AI-ASOC sin XAI y (c) AI-ASOC completo. La segunda variable independiente es la carga concurrente, con N = 20, 50, 100, 200 y 500. La prevalencia maliciosa se estratifica en 3 %, 10 % y 30 %.
Factor Niveles Repeticiones Propósito
Arquitectura Baseline / AI-ASOC sin XAI / AI-ASOC completo 30 por celda Ablación
Carga 20 / 50 / 100 / 200 / 500 30 por celda Escalabilidad
Prevalencia 3 % / 10 % / 30 % 30 por celda Sensibilidad a tasa base
En total, el procedimiento contempla un diseño factorial de 3 arquitecturas × 5 cargas × 3 prevalencias, con 30 repeticiones por celda. Además, 200 alertas escaladas serán evaluadas ciegamente por un panel de 2–3 analistas para validar el hit-rate de las explicaciones.
Las cinco capas de AI-ASOC

1. Percepción — Normaliza alertas de múltiples fuentes y las enriquece mediante conectores asíncronos, fusionando evidencia con pesos de fiabilidad.
2. Razonamiento agéntico — Genera hipótesis de ataque mediante un motor narrativo-contrafactual alineado con MITRE ATT&CK y las valida contra el grafo IAM/topología.
3. Explicabilidad — Construye un ranking de evidencia y produce explicaciones en lenguaje natural dirigidas a analistas, auditores y reguladores.
4. Decisión y gobernanza — Aplica el umbral de confianza y determina auto-aprobación o escalamiento humano, incorporando reglas de cumplimiento.
5. Acción y playbooks — Ejecuta acciones de contención en modo dry-run y con reversibilidad, retroalimentando el Almacén de Conocimiento Empresarial.

Arquitectura AI-ASOC extraída del documento de investigación (página 3).
¿Cómo se validará?
Las métricas propuestas incluyen FPR, precisión, recall, F1-score, latencia media/P95/P99, hit-rate de explicación, cobertura de técnicas MITRE ATT&CK y un puntaje de riesgo compuesto. El análisis estadístico considera Shapiro-Wilk, ANOVA factorial con Tukey cuando corresponda, pruebas no paramétricas en caso contrario, regresión logística e intervalos de confianza al 95 % mediante bootstrapping con 1000 remuestreos.
De un prototipo sintético a un entorno financiero real
El escenario experimental propuesto amplía el grafo IAM/topología a al menos 200 nodos y combina datos de autenticación tipo LANL, tráfico web sintético con intentos de SQLi/phishing y escenarios de fraude en pagos QR. El trabajo futuro contempla sustituir el razonamiento determinista por un LLM real, tanto en modalidad cloud como on-premise, y realizar un piloto controlado con datos anonimizados de una entidad financiera boliviana.
Desafío de investigación
El paso crítico hacia la investigación aplicada será demostrar que el desempeño observado en datos sintéticos se mantiene cuando existen evidencia contradictoria, ruido, infraestructura heterogénea y restricciones de soberanía de datos.

Limitaciones que deben acompañar cualquier resultado
• Validez externa: el diseño continúa trabajando con datos sintéticos y un grafo IAM simulado.
• Validez de constructo: el hit-rate de explicación es solo un proxy de la utilidad real para el analista.
• Validez interna: parte de los parámetros de calibración se deriva de la misma literatura que motiva la hipótesis.
• Riesgos éticos y regulatorios: la inferencia LLM sobre datos transaccionales sensibles plantea cuestiones de soberanía de datos.
• Sobreajuste: un umbral de confianza optimizado sobre datos sintéticos puede no transferirse a condiciones reales.
Conclusión
AI-ASOC propone una evolución del SOC desde la automatización secuencial hacia un modelo donde agentes especializados pueden percibir, razonar, validar, explicar y actuar dentro de límites de gobernanza. La contribución central no es solamente incorporar un LLM, sino estructurar el razonamiento con evidencia verificable y producir decisiones trazables. La investigación deberá demostrar, mediante un diseño factorial y evaluación estadística, si esta combinación realmente reduce falsos positivos y latencia sin degradar el recall.
El resultado esperado es un framework reproducible que pueda evolucionar desde un entorno experimental hacia un piloto controlado, con especial atención a los requisitos de seguridad, auditoría y cumplimiento del contexto financiero boliviano.
Para continuar la conversación
¿Qué componente debería validarse primero en un SOC real: la reducción de falsos positivos, la explicabilidad para auditoría o la capacidad de decisión autónoma? En un entorno regulado, la respuesta probablemente dependerá de cómo se defina el límite entre automatización y decisión humana.
Referencias

1. Karki, D., Ranga, V., & Sisaudia, V. (2026). AI-Based Asynchronous Alert Enrichment Framework for Scalable Security Operations Centers. ICSFT 2026. DOI: 10.1109/ICSFT66733.2026.11507831
2. Roy, J., & Singh, S. K. (2026). AgentSOC: A Multi-Layer Agentic AI Framework for Security Operations Automation. IEEE ICAIC 2026. DOI: 10.1109/ICAIC67076.2026.11395783
3. Vinay, V. (2026). The Evolution of Agentic AI in Cybersecurity: From Single LLM Reasoners to Multi-Agent Systems and Autonomous Pipelines. IEEE ICAIC 2026. DOI: 10.1109/ICAIC67076.2026.11395809
4. Lee, H., Kwon, T., Lee, J., & Song, J. (2024). Enhancing Decision-Making of Network Intrusion Analysis Assisted by Explainable AI for Real-Time Security Monitoring. IEEE DSC 2024. DOI: 10.1109/DSC63325.2024.00039