🤖 AI

Agentic Incident Response through Digital Twin-Enhanced Multiscale Planning

Este artículo propone un marco de respuesta a incidentes agéntico y fundamentado que integra la planificación de despliegue basada en la teoría de la decisión con un gemelo digital y agentes de LLM ligeros para generar estrategias de alto nivel y comandos ejecutables, superando significativamente a los modelos base de LLM de vanguardia al reducir el tiempo de recuperación y aumentar las tasas de recuperación en diversos escenarios de ataque.

Autores originales: Yiran Gao, Tao Li, Kim Hammar

Publicado 2026-08-04

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Yiran Gao, Tao Li, Kim Hammar

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una ciudad enorme y bulliciosa donde millones de personas, empresas y máquinas están constantemente hablando entre sí. A veces, unos alborotadores se cuelan intentando robar secretos o apagar centrales eléctricas. En el mundo real, cuando ocurre un ciberataque, suele ser un equipo de detectives humanos altamente capacitados (llamados operadores de seguridad) quienes tienen que averiguar qué está mal, decidir qué edificio cerrar primero y luego escribir manualmente comandos para arreglarlo. Es como intentar apagar un incendio en un rascacielos mientras el edificio todavía se está quemando, usando un manual que podría estar desactualizado. Este proceso es lento, agotador y a menudo toma meses recuperarse por completo, dejando a la ciudad vulnerable todo el tiempo.

Para acelerar las cosas, los científicos han probado dos trucos principales. El primero es usar "cerebros matemáticos" (algoritmos) que pueden calcular el plan perfecto, pero estos suelen ser demasiado abstractos: saben qué hacer en teoría, pero no pueden escribir realmente los comandos para arreglar un servidor real. El segundo truco es usar "chatbots superinteligentes" (Modelos de Lenguaje Extensos o LLM) que pueden leer registros y escribir código. Pero estos chatbots pueden ser poco fiables; a veces inventan cosas (alucinan) o se quedan atrapados en un bucle, intentando arreglar lo incorrecto porque carecen de un plan de juego sólido. La gran pregunta es: ¿Podemos construir un sistema que tenga el cerebro estratégico de un matemático y la capacidad práctica de un chatbot, todo esto siendo lo suficientemente seguro para probarse antes de tocar la ciudad real?

Este artículo presenta un nuevo y astuto sistema llamado "Respuesta a Incidentes Agéntica" que intenta resolver exactamente ese problema. Piensa en él como un equipo de rescate de dos niveles trabajando juntos con un "Gemelo Digital": una copia virtual perfecta de la red de la ciudad donde pueden practicar sin riesgo de causar daños reales.

Así es como trabaja el equipo:

El Comandante Estratégico (Escala Táctica): Primero, un planificador matemático observa el panorama general. No se preocupa por los detalles minúsculos de escribir comandos todavía. En su lugar, pregunta: "¿Qué edificio es más crítico salvar ahora mismo para detener la propagación del fuego?". Utiliza un método de "proyección" (rollout), que es como representar miles de futuros posibles en una simulación para ver qué orden de salvamento de edificios conduce a la recuperación más rápida.
El Agente de Campo (Escala Operativa): Una vez que el Comandante decide: "Salve primero el servidor del sótano", un agente de IA especializado (un chatbot ligero y ajustado) toma el control. Su trabajo es traducir esa orden de alto nivel en comandos ejecutables reales.
La Red de Seguridad (El Gemelo Digital): Antes de que el Agente de Campo envíe cualquier comando a la red real, los prueba en el Gemelo Digital, una réplica virtual del sistema. Si el comando funciona en la simulación, es aprobado. Si falla o causa un error en el mundo virtual, se descarta, y el agente intenta un comando diferente. Esto evita que la IA rompa accidentalmente el sistema real.

Los investigadores probaron este sistema en un entorno controlado con cinco servidores y tres tipos diferentes de ciberataques (como contraseñas débiles, errores de software e inyecciones de comandos). Compararon su sistema contra los chatbots de "frontera" más avanzados disponibles hoy en día y otros métodos automatizados existentes.

Los resultados fueron prometedores. En sus simulaciones, este nuevo equipo de dos partes logró recuperar el sistema un 15.1% más rápido en promedio que los mejores chatbots independientes. Más importante aún, recuperaron el sistema con un 33.6% más de frecuencia que esos mismos chatbots. Mientras que los chatbots de primer nivel lograron solucionar el problema entre un 50% y un 75% de las veces, este nuevo método mantuvo su tasa de éxito por encima del 90%.

El artículo sugiere que la fórmula secreta no es solo usar un chatbot más inteligente, sino combinar la capacidad del chatbot para escribir código con una estrategia estricta basada en matemáticas y un control de seguridad en un mundo virtual. Los autores señalan que el sistema no es perfecto; si la suposición inicial sobre cómo se mueve el atacante es errónea, el plan puede ser menos efectivo. Sin embargo, al utilizar un modelo ligero que entrenaron específicamente con datos de incidentes (en lugar de un modelo masivo y de propósito general), demostraron que no se necesita una supercomputadora para obtener excelentes resultados. En cambio, se necesita un sistema que sepa cuándo planificar, cuándo actuar y cuándo verificar su trabajo en un entorno seguro de pruebas (sandbox) virtual.

Resumen Técnico: Respuesta a Incidentes Agéntica mediante la Planificación Multiescala Mejorada por Gemelo Digital

Planteamiento del Problema

Los procesos actuales de respuesta a incidentes (IR) son predominantemente manuales, dependiendo de operadores de seguridad y libros de jugadas (playbooks) predefinidos. Este enfoque suele ser lento, requiere mucha mano de obra y habilidades especializadas, con informes que indican que las organizaciones pueden tardar más de 100 días en responder plenamente a los incidentes de seguridad y recuperarse de ellos. Si bien se han propuesto métodos de defensa cibernética autónoma (ACD) basados en enfoques de teoría de la decisión (por ejemplo, Aprendizaje por Refuerzo, Procesos de Decisión de Markov) para automatizar la planificación, estos suelen operar a una escala táctica abstracta. Estos métodos generan estrategias de alto nivel (por ejemplo, "defender el host X"), pero no logran producir comandos operativos ejecutables, lo que limita su aplicabilidad directa a sistemas del mundo real.

Por el contrario, los enfoques que utilizan Modelos de Lenguaje de Gran Escala (LLM) para generar comandos operativos sufren problemas de fiabilidad. Los enfoques agénticos de LLM actuales suelen depender de invocaciones repetidas sin algoritmos de planificación con principios sólidos, lo que conduce a alucinaciones, planes poco fiables y horizontes de planificación limitados. Además, muchos métodos basados en LLM existentes dependen de proveedores externos y carecen de la capacidad de verificar las acciones antes de su despliegue.

Existe una brecha crítica entre la planificación táctica (asignación de recursos y estrategia) y la ejecución operativa (generación y verificación de comandos específicos del sistema).

Metodología

El artículo propone un marco de respuesta a incidentes agéntico multiescala que cierra esta brecha integrando la planificación basada en la teoría de la decisión con la generación de comandos mediante LLM, todo ello respaldado por un Gemelo Digital (DT). La arquitectura opera en dos escalas distintas:

1. Formalización: POMDP Factorizado

Los autores modelan la respuesta a incidentes como un Proceso de Decisión de Markov Parcialmente Observable (POMDP) Factorizado:

Espacio de Estados ( $s_t$ ): Descompuesto en un estado de seguridad global ( $g_t$ ) que representa el estado de compromiso de los componentes de la red (seguro vs. comprometido) y estados de recuperación local ( $\ell_t$ ) que representan el progreso de componentes específicos a través de seis etapas de respuesta (Contención, Evaluación, Preservación, Expulsión, Fortalecimiento, Restauración).
Acciones ( $a_t$ ): Separadas en acciones tácticas (una permutación que define el orden de prioridad de los componentes a recuperar) y acciones operativas (comandos específicos del sistema aplicados al componente priorizado).
Función de Costo: Minimiza el tiempo de recuperación penalizando los retrasos en la recuperación de componentes de alta prioridad o críticos.

2. La Arquitectura Multiescala

El sistema emplea un Gemelo Digital que funciona en dos modos:

Modo de Simulación (Escala Táctica): Una abstracción ligera de la red utilizada para simular la progresión del ataque y evaluar estrategias de recuperación de alto nivel.
Modo de Emulación (Escala Operativa): Una réplica virtual del sistema afectado utilizada para ejecutar y verificar comandos específicos antes de que se apliquen al sistema real.

El proceso de planificación implica dos etapas:

Planificación Táctica (Planificador de Rollout): Utilizando la simulación del Gemelo Digital, un planificador basado en la teoría de la decisión (basado en métodos de lookahead rollout) computa una estrategia de respuesta de alto nivel. Determina el orden óptimo de recuperación de los componentes de la red para minimizar el tiempo total de recuperación y la propagación del riesgo.
Planificación Operativa (Agente LLM): Un LLM ligero y ajustado (fine-tuned) traduce la estrategia de alto nivel en comandos ejecutables.
- Ajuste Fino Offline: Los autores ajustan un modelo DeepSeek-R1-14B en tres tareas específicas utilizando un conjunto de datos de 68,000 incidentes: (1) Evaluación de Incidentes (inferir tácticas del atacante), (2) Generación de Creencia (estimar el estado del sistema a partir de registros/logs) y (3) Generación de Acciones de Respuesta.
- Ejecución Online: El LLM genera comandos candidatos, que luego son verificados mediante la emulación del Gemelo Digital. Si un comando se verifica como efectivo, se ejecuta; de lo contrario, se penaliza el costo y el agente regenera el plan.

Contribuciones Clave

Formulación POMDP Factorizada: Los autores formulan la respuesta a incidentes como un MDP factorizado que separa explícitamente la planificación táctica a nivel de red de la planificación operativa específica del servidor.
Marco Agéntico Integrado: Desarrollan un marco que combina la planificación de rollout basada en la teoría de la decisión (para la estrategia) con la generación basada en LLM (para la ejecución), verificada por un Gemelo Digital. Este es el primer trabajo que combina la planificación táctica con la generación de respuesta operativa de esta manera específica.
Gemelo Digital de Doble Modo: A diferencia de trabajos previos que utilizan DT para simulación o emulación, este método utiliza ambos: simulación para una planificación táctica eficiente y emulación para la verificación operativa.
Implementación Local Ligera: El sistema utiliza un LLM de 14B parámetros implementado localmente, reduciendo la dependencia de proveedores de LLM externos y demostrando que los modelos ligeros pueden superar a los modelos de frontera cuando son guiados por una planificación con principios sólidos.

Resultados Experimentales

El método fue evaluado en una red de prueba con cinco servidores a través de tres escenarios de ataque: Weak-Credential-3, Shellshock-4 y Command-Injection-5.

Líneas Base (Baselines): El sistema se comparó contra LLMs de frontera (GPT-5.5, Gemini-3.1-Pro, DeepSeek-V4-Pro, Claude-Opus-4.8) y líneas base agénticas de vanguardia (IRCopilot, LLM-IR).
Tasa de Recuperación: El enfoque agéntico propuesto logró una tasa de recuperación de ~90% en todos los escenarios. Superó significativamente a los LLM de frontera (que lograron tasas entre 46.8% y 71.4%) y a las líneas base agénticas previas (50.8% a 68.2%).
Tiempo de Ejecución: El enfoque redujo el tiempo promedio de ejecución de las acciones de recuperación en un 15.1% en comparación con los LLM de frontera.
Estudios de Ablación:
- Al compararse con líneas base que utilizaban el mismo plan táctico, la planificación operativa del método propuesto (LLM + verificación DT) fue superior.
- Cuando se obligó a las líneas base a realizar la planificación táctica, el método propuesto aún las superó por un 53.9% a 57.8% en tiempo de ejecución, resaltando el valor del bucle integrado táctico-operativo.
Rendimiento del LLM: El modelo 14B ajustado alcanzó una precisión y exhaustividad (recall) altas (>0.85) para tácticas de ataque comunes y una tasa de éxito del 85.3% en la generación de acciones de recuperación efectivas para tácticas específicas de MITRE ATT&CK.

Significado y Reivindicaciones

El artículo afirma que la principal significancia de este trabajo radica en cerrar la brecha entre la planificación abstracta basada en la teoría de la decisión y la ejecución operativa práctica. Al combinar el rigor estratégico de los planificadores de rollout con la adaptabilidad contextual de los LLM, y fundamentar ambos en un Gemelo Digital para la verificación, el sistema logra:

Fiabilidad: Mitigación de las alucinaciones de los LLM mediante la verificación del Gemelo Digital.
Eficiencia: Reducción del tiempo de recuperación mediante la asignación óptima de recursos (planificación táctica).
Practicidad: Operación con un modelo ligero desplegado localmente que no depende de proveedores de API externos.

Los autores concluyen que, si bien su método no es perfecto —señalando específicamente las limitaciones respecto a la especificación errónea de la táctica de ataque (si el LLM infiere las tácticas incorrectas, el plan táctico sufre) y el costo computacional de los rollouts de LLM—, representa un paso principista hacia sistemas de respuesta a incidentes totalmente autónomos, fiables y eficientes. Se identifica como trabajo futuro el abordar la calibración de la evaluación de incidentes basada en LLM para reducir la especificación errónea de tácticas.