Hace unos días, estaba sentado con el CISO de una empresa Fortune 50, explicando cómo pensaba su equipo de seguridad sobre los agentes de IA en el SOC. Equipo inteligente. Programa serio. Ya habían conectado a Claude con algunas herramientas de detección y estaban viendo un valor real en investigaciones específicas. Pero mientras trazábamos la arquitectura más amplia, algo seguía molestándome. El diseño que estaban construyendo iba a funcionar maravillosamente para un pequeño porcentaje de alertas que realmente necesitaban un profundo juicio humano. Iba a ignorar por completo al resto.
En el vuelo de regreso a casa, tomé un libro que no había tocado en algunos años. Pensamiento rápido y lento de Daniel Kahneman. Kahneman es una de las pocas personas que realmente cambió la forma en que entendemos la toma de decisiones humanas. Pasó su carrera como psicólogo estudiando cómo piensa realmente la gente, a diferencia de cómo los economistas asumían que lo hacían. En 2002, ganó el Premio Nobel de Economía, lo que dice algo sobre hasta dónde llegó su trabajo más allá de su punto de partida.
El argumento central del libro es que la mente humana no es una sola cosa. Se trata de dos sistemas que funcionan en paralelo, a menudo en tensión.
El sistema 1 es el cerebro que funciona automáticamente. Reconoce patrones al instante, lee una habitación en segundos y te mantiene con vida sin esfuerzo consciente. Es rápido, asociativo e inconsciente. Según la investigación de Kahneman, el 95% de toda la cognición humana ocurre aquí, ejecutándose silenciosamente en segundo plano como un sistema operativo que nunca ves.
El Sistema 2 es el cerebro con el que te involucras en las cosas difíciles. Evaluar un contrato, resolver un problema sin una respuesta obvia y tomar una decisión bajo presión. Es lento, lógico, requiere esfuerzo y representa el 5% restante de nuestro pensamiento. Puede anular el Sistema 1 cuando el Sistema 1 está incorrecto. Pero tiene capacidad limitada. No puedes ejecutarlo a máxima potencia todo el día. Cuando se agota, el Sistema 1 se hace cargo de todos modos.
La idea central de Kahneman no es que un sistema sea mejor. Es que los errores que cometen los humanos casi siempre son el resultado de aplicar el sistema equivocado al trabajo equivocado. El pensamiento deliberado aplicado a cosas que deberían ser automáticas agota a la gente y aún así pasa por alto cosas. El pensamiento automático aplicado a cosas que realmente necesitan deliberación produce errores seguros.
Aterricé, abrí mi computadora portátil y me escribí una frase. «Esto es exactamente lo que está mal en la forma en que la mayoría de los equipos de seguridad están diseñando su arquitectura de IA en este momento».
Los números no son una coincidencia.
Kahneman dice que los humanos ejecutan el Sistema 1 para el 95% de su cognición y el Sistema 2 para el 5%. Investigación basada en el análisis de más de 25 millones de alertas empresariales descubrió que el 98% de las alertas se pueden resolver de forma autónoma y menos del 2% realmente justifica la revisión humana.
Esto es casi idéntico al ratio de Kahneman. El SOC que funciona bien no es un invento nuevo. Es la arquitectura la que refleja cómo operan realmente las mejores mentes para tomar decisiones. Procesamiento rápido y automático para la inmensa mayoría de las entradas y juicio humano deliberado reservado para la pequeña fracción que realmente lo necesita.
El CISO con el que estaba sentado estaba construyendo un SOC con un solo cerebro. Su equipo le pedía al Sistema 2 que hiciera el trabajo del Sistema 1, y luego le pedía al Sistema 2 nuevamente que hiciera aquello en lo que realmente es bueno, con la energía sobrante. No es de extrañar que sólo estuvieran cubriendo una fracción de sus alertas. No es de extrañar que los analistas estuvieran agotados. No es de extrañar que nunca se encontraran las verdaderas amenazas escondidas en la pila de baja gravedad. De acuerdo a investigación sobre más de 25 millones de alertasuna empresa con 450.000 alertas al año puede esperar que se oculten 54 amenazas reales exactamente en esas alertas, las que parecen ruido y las que nunca llegan al principio de la cola.
El rápido cerebro SOC para el 98% de las alertas
La mayor parte de la clasificación de alertas SOC es un problema del Sistema 1. ¿Se sabe que este archivo es malicioso? ¿Este inicio de sesión coincide con el comportamiento histórico? ¿Esta IP ha aparecido alguna vez en un caso que ya cerramos? Éstas no son cuestiones que requieran una larga deliberación. Necesitan respuestas, a la velocidad de una máquina, para cada alerta, las 24 horas del día.
Cuando los analistas humanos se ven obligados a hacer este trabajo, sucede lo mismo que cuando obligas a las personas a realizar tareas del Sistema 2 todo el día. Se ralentizan, simplifican y, finalmente, empiezan a saltar. Sólo clasifican lo que parece urgente. Las 54 amenazas que se esconden en la pila de baja gravedad permanecen ocultas, no porque alguien haya decidido ignorarlas, sino porque hay 4.000 alertas detrás de ellas y la capacidad cognitiva del equipo se agotó.
El cerebro autónomo del SOC necesita funcionar como funciona el Sistema 1. Continuamente, sin que nadie se lo indique, por debajo del umbral de la atención humana. Aplica una investigación profunda de nivel forense al 100 % de las señales. Escaneos de memoria, análisis de archivos, correlación de señales cruzadas entre terminales, identidades, redes y nubes. Cierra los casos que son claramente ruido y saca a la luz los casos que realmente necesitan un ser humano, con toda la evidencia ya reunida. No pide permiso. Produce veredictos.
Esto es lo que hace un AI SOC. Lo investiga todo, emite veredictos con un 98% de precisión en menos de dos minutos y entrega al equipo humano el 2% que realmente merece su atención.
El cerebro SOC lento para el 2% de las alertas
El Sistema 2 es donde Claude, Codex y Cursor pertenecen en un SOC. No porque sean lentos, sino porque el trabajo para el que son más adecuados es genuinamente deliberado. Análisis de casos complejos. Ingeniería de reglas de detección. Notificación de incidentes. Búsqueda de amenazas basada en un informe de la industria. Trabajo que requiere síntesis, juicio y capacidad de combinar los hallazgos forenses con el contexto empresarial que sólo tiene el analista.
Aquí es donde el encuadre del copiloto con IA tiene sentido, pero sólo cuando al copiloto no se le pide que gestione la pista. Cuando un agente de Claude se ocupa de un caso escalado, no debe comenzar a partir de una alerta sin formato. Debe comenzar con una investigación completamente ensamblada con todos los análisis forenses completados, las señales relacionadas correlacionadas y la respuesta recomendada redactada. El analista aplica su juicio a un caso curado y respaldado por evidencia. No están validando si valía la pena examinar la alerta. Están haciendo el trabajo que realmente necesita una mente humana.
Cuando el Sistema 2 recibe ese tipo de información, algo cambia. Lo que solía ser una tarde de intercambio de consolas se convierte en un intercambio breve y centrado. El analista deja de hacer cola y comienza a hacer el trabajo para el que realmente fue contratado. Y aquí está la parte que creo que el mercado aún no ha apreciado del todo. Cada juicio que hace el cerebro lento se retroalimenta al cerebro rápido. Cada regla de sintonía escrita en Claude, cada caso cerrado con un nuevo contexto, hace que la capa autónoma sea más precisa el mes siguiente. Los dos sistemas son compuestos. Se mejoran mutuamente con el tiempo.
Los dos modos de falla que se desarrollan en este momento
Kahneman pasó toda su carrera documentando lo que sucede cuando los humanos utilizan el sistema cognitivo incorrecto para resolver un problema. La industria de la seguridad está ejecutando ambos modos de falla simultáneamente y a escala.
El primero es el clásico. Mantener a los analistas humanos en el rol del Sistema 1. Clasificación manual de cientos de alertas al día, quemando capacidad cognitiva en trabajos que deberían automatizarse. El Sistema 2 del equipo se agota antes de llegar a los casos que realmente lo necesitan. La cobertura sufre. Se pasan por alto las amenazas. El equipo agrega personal y el problema aumenta linealmente en lugar de resolverse.
El segundo modo de fallo es el que está produciendo la actual ola de IA. Implementar una plataforma de IA de vanguardia directamente contra datos de detección sin procesar y llamarla AI SOC. Este también es el Sistema 2 haciendo el trabajo del Sistema 1, solo que más rápido y más costoso. El agente todavía necesita un humano para iniciar cada investigación. En volúmenes de alerta reales, la economía no se sostiene. Ejecutar un modelo de frontera para cada alerta con los costos simbólicos actuales no es viable en producción. Los equipos comienzan silenciosamente a omitir los de baja prioridad. Las 54 amenazas desatendidas siguen desaparecidas. El problema no está resuelto. Se renombra.
La arquitectura SOC que realmente refleja el cerebro
El SOC que tenga éxito en 2026 ejecutará ambos sistemas correctamente.
El cerebro rápido cubre todo automáticamente. Está diseñado específicamente para la investigación forense a escala, no es un modelo de lenguaje de propósito general. No espera indicaciones. No omite alertas de baja gravedad porque la cola es larga. Produce veredictos sobre el 100% de las señales y alimenta el cerebro lento con casos completamente ensamblados.
El cerebro lento funciona sobre esa base. Claude, Cursor, Codex, etc. reciben casos escalados con todo el contexto adjunto. Los analistas supervisan en lugar de clasificar. Y como ambos cerebros comparten la misma base de conocimientos, cada decisión que se toma en el espacio de trabajo de la IA hace que la capa autónoma sea más inteligente.
También hay una implicación estratégica aquí: creo que el mercado no se ha procesado completamente. Las empresas que subcontratan la investigación de alertas a un proveedor de MDR no son propietarias de la capa de conocimiento que surge de esa investigación. Las reglas de detección, el historial de casos, la lógica de clasificación y el contexto organizacional se acumulan dentro de la plataforma del proveedor. Cuando desea conectar Claude o Codex a sus operaciones de seguridad, está intentando ejecutar el Sistema 2 sobre una base que no le pertenece. El cerebro lento no tiene nada con qué trabajar.
Llevar la investigación internamente no es sólo una decisión de costo o cobertura. Es el requisito previo para que un analista copiloto sea realmente útil. Cada alerta investigada, cada caso resuelto, cada regla ajustada se acumula dentro de su propia instancia. Cuanto más rápido el Sistema 1 construye esa base, más poderoso se vuelve el Sistema 2.
La idea de Kahneman fue que los mejores tomadores de decisiones no son aquellos que piensan más rápido o más intensamente. Son aquellos que saben qué modo exige el momento y han diseñado sus vidas para que cada sistema se aplique a los problemas correctos.
Los equipos de seguridad que hagan esto bien en 2026 no serán los que tengan más analistas ni el modelo de lenguaje más potente. Ellos serán quienes diseñaron un SOC donde el cerebro rápido maneja todo lo que debe y el cerebro lento queda libre para hacer lo que debe hacer.
La IA se ejecuta. Los humanos supervisan. Y cuando la arquitectura es correcta, la supervisión es la mejor parte del trabajo.
¿Encontró interesante este artículo? Obtenga más información aquí.
Nota: Este artículo ha sido escrito y contribuido de manera experta por Lital Asher-Dotan, CMO de Intezer.
