En los últimos años, las empresas, siguiendo la tendencia global, han comenzado a implementar la inteligencia artificial en ciberseguridad para protegerse contra las ciberamenazas. Ya existen sistemas basados en reglas y lógica (Rule-based + Expert Systems) que operan mediante lógicas de comportamiento predefinidas (IF-THEN).
Estas fórmulas se encuentran, por ejemplo, en sistemas IDS, en plataformas SOAR para la priorización de alertas y en SIEM para la correlación de eventos en tiempo real. Aunque estos sistemas continúan en uso por ser familiares, comprensibles y gestionables, se combinan cada vez más con herramientas de IA para ciberseguridad para acelerar y simplificar el procesamiento de datos.
Las aplicaciones de la IA en ciberseguridad son múltiples, empleando diversos tipos, cada uno con sus propias tareas, algoritmos y ventajas. A continuación, se clasifican en 3 grupos para analizar sus aplicaciones y la lógica de su funcionamiento:
Los principales tipos de IA utilizados en ciberseguridad son:
- IA de Grafos (Graph AI): Analiza relaciones entre entidades (IPs, usuarios) para detectar amenazas complejas como APTs.
- Aprendizaje Automático (ML): Utiliza datos estructurados (logs, telemetría) para identificar anomalías, DDoS y malware.
- Modelos de Lenguaje Grandes (LLM): Procesa texto no estructurado (informes, correos) para entender el contexto de un incidente.
IA de Grafos (Graph AI)
Analiza las relaciones entre entidades como usuarios, direcciones IP, archivos y procesos. Su objetivo es detectar Amenazas Persistentes Avanzadas (APT) complejas mediante el análisis de cadenas de eventos, construir un grafo de ataque (p. ej., Neo4j + MITRE ATT&CK), un grafo de alcanzabilidad (AM) o la ruta de un atacante, visualizando el movimiento lateral en la red.
Para ilustrar su funcionamiento, considera la búsqueda de la ruta más corta en un mapa de metro. La IA de grafos opera de forma análoga: en lugar de estaciones, modela entidades como ordenadores, usuarios, IPs, archivos y procesos. La “ruta” resultante puede representar la trayectoria de un atacante a través de la red corporativa o un grafo de alcanzabilidad derivado del mapa de red de la compañía.
Machine Learning en Ciberseguridad con Datos Estructurados
Estos algoritmos se entrenan con etiquetas o patrones identificados en datos numéricos, como logs, telemetría, métricas de red e indicadores de comportamiento. Modelos como Random Forest (o bosque aleatorio), XGBoost, SVM, K-Means, DBSCAN y Árboles de Decisión se emplean para la detección de ataques DDoS y botnets, el análisis de tráfico de red y la clasificación automática de muestras de malware, siendo clave para la detección de amenazas con IA.
El funcionamiento del ML sobre datos estructurados es comparable al de un sistema de videovigilancia inteligente en un comercio. Este sistema analiza el comportamiento de los visitantes para distinguir entre clientes habituales y potenciales infractores. De manera similar, los algoritmos de ML analizan logs, telemetría, paquetes de red y firmas de comportamiento para identificar anomalías y patrones sospechosos que puedan indicar una amenaza.
En general, en las soluciones de ciberseguridad modernas, las redes neuronales se utilizan para el análisis del comportamiento de usuarios (UEBA), el análisis de actividad en los endpoints (EDR/XDR) y la predicción de incidentes basada en patrones de comportamiento y riesgos (por ejemplo, la probabilidad de que un empleado renuncie, inferida por cambios en su interacción con archivos y correo electrónico).
Los modelos de ML también se pueden dividir en 2 grupos según cómo utilizan los datos de entrada:
Modelos “con supervisor” (Supervised ML)
Y redes neuronales profundas (Deep Learning), incluyendo LSTM, GRU y CNN, que se entrenan con series temporales y secuencias de eventos.
Pueden entrenarse con datos sobre la actividad de botnets, ataques DDoS, operaciones de malware y acciones de atacantes, como se implementa en los módulos de gestión de incidentes que utilizan los resultados de un ciberpolígono.
También se pueden destacar los sistemas de recomendación (Recommender AI), que proponen soluciones o evaluaciones basadas en la experiencia previa y el comportamiento de otros sistemas/usuarios. Así se generan, por ejemplo, recomendaciones para la respuesta a incidentes de ciberseguridad (SV SOAR) y se actualizan automáticamente las políticas de firewalls / ACL.Imagina que tienes una gran cantidad de correos electrónicos y cada uno ya está etiquetado como “spam” o “correo normal”.
La IA analiza qué palabras, remitentes o asuntos son más frecuentes en el spam y cuáles solo aparecen en los correos legítimos. Con el tiempo, el servicio aprende a reconocer nuevos correos de spam por sí mismo, incluso si no los ha visto antes. Así funciona el aprendizaje “con supervisor”, ya que los correos iniciales estaban previamente etiquetados.
Es como mostrarle a un niño 100 fotos de gatos y perros, donde cada imagen tiene una leyenda que indica qué animal es. El niño memoriza las diferencias y luego identifica correctamente a nuevos animales.
Modelos “sin supervisor” (Unsupervised ML)
O aprendizaje por refuerzo (Reinforcement Learning), que aprenden mediante un sistema de recompensa y penalización (como en un juego), o que analizan el tráfico en modo de monitorización durante un tiempo para detectar futuras anomalías.
Esto se aplica, por ejemplo, en la optimización de estrategias de respuesta en simulaciones MITRE Caldera, la gestión automática de políticas NGFW o la búsqueda de vulnerabilidades mediante escenarios dinámicos para Red Teams.
Imagina que abres una caja donde hay de todo mezclado: cables, baterías, juguetes viejos, papeles, y empiezas a agrupar los objetos por similitud: los cables con los cables, el papel por separado, los juguetes en otro montón.
Un modelo “sin supervisor” no sabe de antemano cuál es la respuesta correcta; él mismo encuentra los grupos, patrones y conexiones en los datos, como si los descifrara sobre la marcha. Sería como si el niño del ejemplo anterior comenzara a agrupar a los animales por su cuenta: “todos los peludos”, “todos con las orejas hacia arriba”, “todos a rayas”, y al final formara dos clústeres de datos: gatos y perros.
LLM en Ciberseguridad: El Papel de los Modelos de Lenguaje
Son otra herramienta en el amplio arsenal de la ciberseguridad. Los modelos de lenguaje se distinguen por su comprensión contextual y su capacidad para analizar datos no estandarizados. La mayoría de los sistemas de ciberseguridad operan con datos estructurados como alertas, logs y reglas de correlación.
Sin embargo, los LLM pueden analizar texto no estructurado, como informes de incidentes, correos electrónicos, discusiones en la dark web y descripciones humanas del tipo “algo salió mal”.
Por supuesto, también presentan desventajas, siendo la principal la posibilidad de “alucinaciones”, que ocurren cuando el sistema genera datos falsos o ficticios con aparente certeza debido a la falta de contexto. En ciberseguridad, esto puede derivar en falsos positivos, informes incorrectos y errores en la respuesta a incidentes. La solución radica en arquitecturas con validación de datos y enfoques como RAG (Retrieval-Augmented Generation), donde el modelo se basa únicamente en fuentes verificadas.
Para entenderlo, imagina a un amigo que ha leído millones de libros, artículos y conversaciones, y le pides que escriba una felicitación de cumpleaños para tu abuela. Basándose en la vasta cantidad de textos similares que ha procesado, puede generar un texto a partir de patrones memorizados. No recuerda cada felicitación palabra por palabra, sino que ha aprendido a predecir qué palabras suelen seguir a otras en ese contexto, creando algo como: “Querida abuela, que cada día esté lleno de luz, como tu sonrisa“.
Este mecanismo es similar al teclado predictivo de un smartphone moderno, que sugiere la siguiente palabra en un mensaje. Los LLM operan de la misma manera, generando texto basado en los miles de millones de ejemplos que han procesado previamente.
Hoy en día, la inteligencia artificial en ciberseguridad se está convirtiendo en un componente integral de las herramientas de defensa. En lugar de un único algoritmo “omnisciente”, están surgiendo ecosistemas de modelos especializados (desde grafos hasta modelos de lenguaje, desde árboles de decisión hasta redes neuronales).
Cada uno de estos modelos fortalece una etapa específica del ciclo de vida de un incidente, desde la detección temprana hasta el análisis y la respuesta automatizada. Los sistemas de ciberseguridad modernos operan cada vez más como una sinfonía de modelos, donde reglas, patrones, anomalías y contexto se complementan para reducir la carga de trabajo de los analistas y acelerar la toma de decisiones.
Es crucial entender que la IA no es una “solución mágica”, sino una herramienta que exige validación, adaptación y una implementación responsable. La combinación de conocimiento experto, modelos transparentes y fuentes de datos verificadas es lo que convierte el uso de la IA en ciberseguridad en una fuerza real para contrarrestar las amenazas modernas, más allá de ser una simple tendencia.
