Un SOC agéntico es un centro de operaciones de seguridad (SOC) en el que agentes de inteligencia artificial ejecutan de forma autónoma el triage (la clasificación inicial) de alertas, la correlación de eventos y la investigación inicial de incidentes, mientras los analistas humanos supervisan los resultados y toman las decisiones críticas.
A diferencia de la automatización tradicional, que sigue guiones predefinidos, un agente de IA razona sobre cada caso: interpreta el contexto, decide el siguiente paso y adapta su investigación según lo que va encontrando. El agente hace el trabajo pesado y el analista conserva el criterio final.
El término se consolidó entre 2025 y 2026, cuando proveedores como Microsoft, Google Cloud y CrowdStrike lo adoptaron para describir la siguiente generación de operaciones de seguridad. La idea central es simple: las tareas repetitivas que hoy consumen la jornada de un analista pasan a ejecutarlas agentes de IA, y el equipo humano sube de nivel para dirigir, validar y mejorar esa operación.
En esta guía te explicamos cómo funciona un SOC agéntico, en qué se diferencia de un SOC tradicional y de una plataforma SOAR, qué resultados está dando y qué papel juega la supervisión humana.
Por qué el SOC tradicional llegó a su límite
El modelo clásico de SOC depende de que personas revisen alertas una por una. Ese modelo tiene un problema estructural: el volumen de señales crece mucho más rápido que la capacidad de cualquier equipo.
Un SOC mediano recibe miles de alertas al día, y una parte importante son falsos positivos que igual consumen tiempo de revisión. Las consecuencias son conocidas en cualquier equipo de seguridad:
- Fatiga de alertas. Los analistas dedican la mayor parte del turno a descartar ruido, no a investigar amenazas reales.
- Rotación de talento. El rol de analista de nivel 1, centrado en cerrar tickets repetitivos, es uno de los de mayor desgaste en la industria.
- Tiempos de respuesta desiguales. Una alerta crítica puede esperar horas en la cola simplemente porque llegó junto a cientos de alertas menores.
- Ataques a velocidad de máquina. Los adversarios ya usan automatización e IA para ejecutar campañas en minutos, y una defensa que opera a ritmo humano compite en desventaja.
La respuesta de la industria durante años fue la automatización por playbooks (guiones de respuesta predefinidos), el modelo conocido como SOAR. Funcionó para tareas mecánicas, pero un playbook solo ejecuta lo que alguien escribió de antemano. El SOC agéntico nace para cubrir lo que el playbook no puede: razonar frente a situaciones que nadie programó.
Cómo funciona un SOC agéntico
Un SOC agéntico combina cuatro capacidades operadas por agentes de IA especializados, siempre bajo políticas definidas por el equipo humano.
1. Detección autónoma. Modelos entrenados con incidentes reales analizan millones de eventos de endpoints (dispositivos), red, identidad y nube. No dependen solo de firmas o reglas estáticas: identifican patrones anómalos que las herramientas convencionales pasan por alto.
2. Correlación inteligente. Un ataque real casi nunca es una sola alerta. El agente conecta señales separadas por horas o días (un inicio de sesión inusual, un pico de DNS saliente, un movimiento lateral) y las presenta como un solo incidente con su línea de tiempo completa.
3. Priorización contextual. El agente evalúa cada incidente con el contexto del negocio: qué activo está involucrado, qué tan expuesto está y qué impacto tendría. Con eso reduce el ruido operativo y ordena la cola por riesgo real, no por orden de llegada.
4. Investigación y respuesta supervisada. Para cada caso, el agente reúne evidencia, documenta su razonamiento y propone la acción de contención: aislar un endpoint, rotar credenciales, bloquear un dominio. Las acciones de bajo riesgo pueden ejecutarse dentro de umbrales aprobados; las decisiones de alto impacto siempre pasan por un analista.
Este último punto define al modelo y se conoce como "human in the loop" (humano en el circuito). El resultado es una división del trabajo nueva: el analista deja de procesar alertas y pasa a supervisar una operación que corre a velocidad de máquina.
SOC tradicional vs SOAR vs SOC agéntico
| SOC tradicional | SOC con SOAR | SOC agéntico | |
|---|---|---|---|
| Triage de alertas | Manual, alerta por alerta | Automatizado solo para casos previstos en playbooks | Autónomo: el agente razona cada caso, previsto o no |
| Correlación de eventos | Depende de la memoria y experiencia del analista | Reglas de correlación estáticas | El agente conecta señales entre fuentes y ventanas de tiempo |
| Respuesta | Manual | Ejecuta el playbook definido | Propone o ejecuta según umbral de confianza, con aprobación humana en casos críticos |
| Adaptación a ataques nuevos | Limitada al conocimiento del equipo | Nula: requiere escribir un playbook nuevo | Alta: razona sobre situaciones no programadas |
| Rol del analista | Procesar la cola de alertas | Mantener y ajustar playbooks | Supervisar agentes, validar hallazgos y decidir casos ambiguos |
| Velocidad de contención | Horas o días | Minutos en escenarios previstos | Minutos de forma consistente |
La distinción clave frente a SOAR es la naturaleza de la automatización. SOAR es un motor de flujos de trabajo: ejecuta pasos fijos con lógica condicional. Un agente de IA es un investigador: formula hipótesis, busca evidencia y ajusta su plan según lo que encuentra. Por eso ambos conviven en un SOC moderno: SOAR ejecuta lo mecánico y los agentes resuelven lo que requiere razonamiento.
Qué resultados está dando el modelo agéntico
Los primeros resultados medidos vienen del triage de alertas de phishing, y son notables. En el primer estudio controlado aleatorizado sobre un agente de IA de seguridad, publicado por Microsoft, los analistas apoyados por el agente de triage identificaron hasta 6.5 veces más amenazas reales por minuto de analista y mejoraron la precisión de sus veredictos en 77%.
El mismo estudio encontró dos cosas que importan más que la velocidad. Los analistas reasignaron su atención y dedicaron 53% más tiempo a los correos maliciosos, es decir, a las amenazas reales. Y no cayeron en aprobar automáticamente los veredictos del agente: siguieron ejerciendo criterio propio.
Fuera del laboratorio, Microsoft documenta el caso de St. Luke's University Health Network, una red de salud donde el agente ahorra a los analistas cerca de 200 horas mensuales solo en el triage de reportes de phishing.
Los datos publicados hasta ahora apuntan en la misma dirección: el valor no está solo en responder más rápido, sino en sostener esa velocidad de forma continua sin depender del tamaño del equipo.
El límite sano: autonomía supervisada, no autonomía total
Un SOC agéntico bien diseñado no busca eliminar al humano, y esto es más que una postura filosófica: es un requisito operativo. Un agente sin supervisión puede aislar un servidor de producción por un falso positivo o ejecutar una contención desproporcionada.
La madurez del modelo se mide por tres propiedades:
- Observable. Cada decisión del agente queda documentada con su evidencia y su razonamiento, en un registro auditable y sin cajas negras (decisiones opacas que nadie puede rastrear).
- Gobernable. El equipo define qué puede hacer cada agente de forma autónoma y qué requiere aprobación, con umbrales de confianza explícitos.
- Interrumpible. Un analista puede pausar, revertir o cuestionar cualquier acción en cualquier momento.
Con estas tres propiedades, la IA amplifica el criterio del equipo en lugar de sustituirlo. Sin ellas, solo amplifica el ruido.
Si estás evaluando proveedores que ofrecen capacidades agénticas, estas tres propiedades se convierten en tres preguntas: ¿puedo auditar cada decisión del agente y ver su razonamiento? ¿Quién define qué ejecuta solo y qué requiere mi aprobación? ¿Puedo cuestionar o revertir una decisión ya tomada? Un proveedor que no pueda responder las tres con pantallas concretas está vendiendo el término, no el modelo.
Así opera TecnetSOC Agentic
En TecnetOne este modelo ya opera, y cada pieza es verificable en el portal de nuestros clientes.
Antes de que una alerta llegue a tu equipo, un agente de IA la analiza y decide si amerita escalarse a un analista humano. Cada análisis queda clasificado bajo MITRE ATT&CK, el marco de tácticas y técnicas de ataque más usado en la industria, y los descartes se documentan con su criterio: no se pierden.
El Motor de Recomendaciones revisa tu postura de forma continua y ordena las brechas por impacto real, no por antigüedad. TecnetSOC no descansa: la operación corre las 24 horas, con nuestro equipo detrás para escalar cuando un caso lo requiere. Más de 140 millones de logs procesados respaldan esa operación.
La respuesta sigue el principio de autonomía supervisada. Los playbooks de respuesta automatizada se aprueban por adelantado contigo, y ninguna acción correctiva adicional se ejecuta sin que alguien de tu lado dé el sí.
Y el modelo es observable de punta a punta: cada investigación es un expediente que puedes abrir, preguntar y discutir desde tu portal, con indicadores del total de alertas analizadas, cuántas eran falsos positivos y cuántas se confirmaron. Esa trazabilidad es la misma evidencia que sostiene marcos como ISO 27001, PCI DSS o la LFPDPPP.
Qué automatiza hoy y qué no. TecnetSOC Agentic automatiza el análisis y la clasificación de alertas, la priorización de brechas y los playbooks que tú ya aprobaste. Las contenciones fuera de ese alcance requieren aprobación de tu lado, y la capacidad de cierre automático tipo SOAR está en nuestro roadmap. Ese límite es parte del producto: mantiene la decisión donde debe estar.
Si quieres ver cómo funcionaría el modelo sobre tu propia infraestructura, ponlo a prueba por 30 días.
