Resumen Técnico: Un Marco Unificado para la Colaboración Humano-IA en Centros de Operaciones de Seguridad con Autonomía Confiable

Declaración del Problema

Los Centros de Operaciones de Seguridad (SOC) enfrentan desafíos operativos críticos impulsados por la creciente sofisticación de las amenazas cibernéticas y las limitaciones de las estrategias de automatización actuales. A pesar de la integración de herramientas de Gestión de Información y Eventos de Seguridad (SIEM), Orquestación, Automatización y Respuesta de Seguridad (SOAR) y Detección y Respuesta de Endpoints (EDR), los SOC luchan contra la fatiga por alertas, las altas tasas de falsos positivos (hasta el 99% en algunos estudios) y el agotamiento de los analistas. Los marcos existentes suelen depender de configuraciones de autonomía estáticas o binarias (ya sea totalmente manuales o totalmente automatizadas), al no considerar la variabilidad en la complejidad, la criticidad y el riesgo asociados con diferentes tareas del SOC. Además, los enfoques actuales carecen frecuentemente de estructuras sistemáticas para gestionar la toma de decisiones de Humano en el Bucle (HITL), la calibración de la confianza y la autonomía escalable. Esta brecha resulta en flujos de trabajo ineficientes donde los analistas humanos se ven abrumados por el ruido, mientras que los sistemas de IA carecen de la supervisión necesaria para incidentes de alto riesgo, novedosos o ambiguos.

Metodología

Los autores proponen un Marco de Colaboración Humano-IA Unificado fundamentado en una relación triádica entre Autonomía, Confianza y la participación del Humano en el Bulo (HITL). La metodología involucra tres componentes principales:

1. Modelado Teórico de la Autonomía y la Confianza:

   • Autonomía ($A$): Definida como un valor escalar $A \in [0, 1]$, modelada como una función de la complejidad de la tarea ($C$), el riesgo ($R$) y la confianza ($T$): $A = 1 - (\lambda_1 C + \lambda_2 R)(1 - T)$. Esta ecuación postula que la autonomía disminuye con una mayor complejidad y riesgo, pero aumenta con una mayor confianza.
   • Participación de HITL ($H$): Definida como el inverso de la autonomía ($H = 1 - A$), que oscila desde el control humano total hasta la autonomía total de la IA.
   • Confianza ($T$): Modelada como una suma ponderada de la explicabilidad ($E$), el historial de desempeño ($P$) y la incertidumbre ($U$): $T = \alpha_1 E + \alpha_2 P + \alpha_3(1 - U)$.

2. Marco de Autonomía de Cinco Niveles:
   Inspirado en el estándar SAE J3016 para la automatización de vehículos, los autores mapean las operaciones del SOC en cinco niveles distintos de autonomía (0–4), alineados con los niveles de analista de SOC (Nivel 1–4) y las funciones del Marco de Ciberseguridad de NIST (Identificar, Proteger, Detectar, Responder, Recuperar):

   • Nivel 0 (Manual): Sin automatización; los analistas gestionan todas las tareas.
   • Nivel 1 (Asistido por IA): La IA proporciona soporte de decisión (p. ej., puntuación de alertas); los humanos retienen el control total.
   • Nivel 2 (Semi-autónomo): La IA ejecuta tareas rutinarias pero requiere aprobación humana explícita para acciones críticas.
   • Nivel 3 (Condicionalmente Autónomo): La IA ejecuta tareas definidas de forma autónoma; los humanos supervisan (Humano sobre el Bucle) e intervienen solo ante excepciones.
   • Nivel 4 (Totalmente Autónomo): La IA gestiona funciones integrales con mínima supervisión humana (Humano fuera del Bucle), centrándose en la gobernanza y la auditoría.

3. Integración de la Conciencia Situacional (SA):
   El marco incorpora la SA como un mediador central, desglosándola en autoconciencia (reconocer limitaciones), conciencia del compañero (comprender roles y estados cognitivos) y conciencia del entorno (mantener una visión coherente del panorama de amenazas). Esto asegura que los conocimientos de la IA sean interpretados dentro de los modelos mentales humanos.

4. Validación Empírica (Estudio de Caso):
   El marco fue validado utilizando un entorno de simulación cibernética (ACDC Cyber Range) que cuenta con un agente de Modelo de Lenguaje Grande (LLM) ajustado llamado CyberAlly. CyberAlly, equipado con Generación Aumentada por Recuperación (RAG) y grafos de conocimiento, operó dentro de un ejercicio de Red Team contra Blue Team en entornos de TI/OT (sistemas portuarios marítimos). El agente interactuó con SIEM (Wazuh), SOAR y analistas a través de una interfaz de chat, progresando a través de los niveles de autonomía basados en la complejidad del incidente y la confianza establecida.

Contribuciones Clave

• Marco Triádico: El artículo formaliza la interacción entre Autonomía, Confianza y HITL, ofreciendo un enfoque estructurado para la asignación dinámica de tareas en los SOC.
• Escala de Autonomía por Niveles: Introduce un modelo de autonomía granular de cinco niveles que va más allá de la automatización binaria, permitiendo la delegación adaptativa basada en el riesgo de la tarea y la confianza del analista.
• Alineación de Roles: El marco vincula niveles específicos de analistas de SOC (Nivel 1–4) con los correspondientes niveles de autonomía y configuraciones de HITL, aclarando las responsabilidades desde el triaje inicial hasta la gobernanza estratégica.
• Diseño de Flujo de Trabajo Operativo: Detalla flujos de trabajo colaborativos para la Gestión de Alertas, Gestión de Amenazas y Respuesta y Recuperación, demostrando cómo la IA y los humanos pueden co-investigar y co-decidir.
• Evidencia Empírica: A través del estudio de caso de CyberAlly, el artículo proporciona una demostración práctica de la viabilidad del marco, mostrando cómo un agente basado en LLM puede reducir los falsos positivos y acelerar los tiempos de respuesta manteniendo la supervisión humana.

Resultados

El estudio de caso que involucró al agente CyberAlly en el entorno ACDC arrojó los siguientes resultados cuantitativos y cualitativos:

• Reducción de Falsos Positivos: El agente de IA redujo las alertas de falsos positivos del 70% al 35%, mejorando significativamente la relación señal-ruido.
• Eficiencia de Investigación: Los tiempos de investigación para incidentes complejos (p. ej., uso indebido de credenciales, manipulación de OT) se redujeron de 3 horas a 1 hora (una mejora del 67%).
• Tiempo de Respuesta (MTTR): El Tiempo Medio de Respuesta se redujo de 8 horas a 90 minutos (una reducción del 80%) en escenarios específicos de aislamiento de endpoints y contención de amenazas.
• Escala de Automatización: La creación automática de tickets aumentó del 10% al 75% del total de incidentes.
• Calibración de la Confianza: El estudio demostró que la confianza no es estática; evolucionó a medida que la IA proporcionaba justificaciones explicables y un desempeño consistente, permitiendo una transición gradual desde el Nivel 1 (HITL Total) hacia la autonomía de Nivel 2/3 (Humano sobre el Bucle).

Significado y Reivindicaciones

El artículo sostiene que su principal importancia radica en proporcionar un enfoque estructurado, escalable y teóricamente fundamentado para integrar la IA en los SOC sin reemplazar la experiencia humana. Al abordar la naturaleza de "caja negra" de la IA y la rigidez de la automatización actual, el marco permite la creación de SOCs Cognitivos donde la IA actúa como una mejora dependiente para la toma de decisiones humanas.

Los autores afirman que su marco:

1. Cierra la Brecha: Conecta los modelos teóricos de autonomía y confianza con la implementación práctica en los flujos de trabajo de los SOC.
2. Mitiga el Riesgo: Al calibrar la autonomía basándose en la confianza y el riesgo, evita el sesgo de automatización y asegura la rendición de cuentas en las decisiones críticas.
3. Mejora la Resiliencia: Permite a los SOC escalar sus operaciones y manejar el volumen de las amenazas cibernéticas modernas, reduando al mismo tiempo el agotamiento y la carga cognitiva de los analistas.
4. Facilita la Evolución: El marco respalda la transición de los SOC reactivos basados en reglas hacia centros de operaciones de seguridad proactivos, adaptativos y orientados al aprendizaje.

El artículo concluye que, si bien persisten desafíos relacionados con la deriva del modelo, la explicabilidad y la adopción organizacional, el marco propuesto ofrece una vía viable para diseñar arquitecturas de próxima generación de SOC que aprovechen la IA para una autonomía confiable.