Sophos reduce el tiempo de investigación de amenazas en un 96% con OpenAI Daybreak
Sophos afirma que OpenAI Daybreak ayudó a reducir su tiempo medio de investigación y respuesta ante amenazas en un 96%, de unos 38 minutos a 89 segundos. El proveedor de ciberseguridad informa ahora que la inteligencia artificial resuelve el 52% de sus casos de detección y respuesta gestionadas de principio a fin.
Estos resultados representan un paso más relevante que añadir un asistente de IA a la consola de un analista. Sophos ha asignado a agentes de IA responsabilidad operativa sobre más de la mitad de su volumen de casos, dentro de límites que sus especialistas de seguridad ajustan continuamente.
Esta distinción sitúa a la empresa en el lado opuesto de un modelo conocido de operaciones de seguridad. En lugar de pedir a los analistas que supervisen cada investigación rutinaria, Sophos permite que los agentes gestionen casos acotados mientras las personas se concentran en decisiones inciertas o trascendentes. La cuestión crítica es si esa división puede preservar la responsabilidad a medida que se expande la automatización.
OpenAI Daybreak pasa de la asistencia a la resolución de casos
El cambio central no es una generación de resúmenes más rápida. Sophos está permitiendo que los agentes completen investigaciones y respuestas definidas sin requerir intervención humana en cada caso.
Según el caso de estudio de OpenAI, Sophos necesitaba anteriormente unos 38 minutos para investigar y responder a un caso promedio. Los casos procesados por sus nuevos agentes alcanzan ahora un tiempo de respuesta medio de unos 89 segundos.
Esta caída representa una reducción de aproximadamente el 96%. Sophos también afirma que los agentes resuelven el 52% de sus casos de detección y respuesta gestionadas, o MDR, de principio a fin.
MDR es un servicio en el que un equipo externo de seguridad supervisa continuamente los entornos de los clientes y responde a las amenazas detectadas. Ofrece a las organizaciones acceso a operaciones de seguridad sin necesidad de crear un centro interno completo de operaciones de seguridad.
La mejora comunicada se aplica a los casos gestionados por los agentes. No debe interpretarse como prueba de que todas las investigaciones de Sophos se cierren ahora en 89 segundos.
Este alcance importa porque los casos de seguridad varían ampliamente. Un archivo malicioso conocido puede permitir una respuesta estrictamente definida, mientras que una actividad de identidad sospechosa puede requerir un contexto empresarial que la telemetría no puede proporcionar.
Sophos afirma que su sistema Fusion recopila señales de sus productos y de más de 500 integraciones de terceros. Estas fuentes cubren entornos que pueden incluir endpoints, redes, servicios en la nube, sistemas de correo electrónico, firewalls y plataformas de identidad.
Según OpenAI, los sensores combinados generan billones de eventos cada día. Sophos filtra y correlaciona esa actividad para convertirla en aproximadamente entre 1.000 y 2.000 casos que deben investigar nueve centros de operaciones de seguridad.
Un agente de investigación recopila el contexto relevante del cliente, detecciones, indicadores de compromiso e inteligencia de amenazas. A continuación, un modelo de planificación crea un plan de investigación, ejecuta sus pasos, revisa los resultados y prepara las acciones recomendadas.
Otros agentes pueden realizar partes de la respuesta cuando la autorización del cliente y los límites operativos de Sophos lo permiten. Ese flujo de trabajo convierte al modelo en un orquestador, no simplemente en una interfaz conversacional.
El resultado también se basa en un esfuerzo de automatización anterior. En mayo de 2026, Sophos comunicó resultados de SOC agéntico que cubrían un año de uso en producción.
Ese anuncio también citaba un tiempo de respuesta automatizada de 89 segundos y una tasa de cierre integral del 52%. Por tanto, el caso de estudio de OpenAI de octubre aporta más detalles sobre el papel de Daybreak, en lugar de presentar esas métricas por primera vez.
Este historial hace que la evidencia sea más sólida que una demostración de laboratorio. Sin embargo, ambas cuentas publicadas siguen siendo mediciones comunicadas por la empresa, no una comparación independiente que use un referente común del sector.
Por qué una respuesta en 89 segundos cambia la competencia en MDR
Sophos está presionando a los proveedores de seguridad gestionada para que compitan en resultados completados, en lugar de por el número de alertas que su IA puede resumir.
Los equipos de operaciones de seguridad ya usan automatización para eliminar ruido, correlacionar alertas y priorizar actividad sospechosa. El paso más difícil es permitir que el software decida que la evidencia justifica una respuesta y después la ejecute.
Sophos afirma que su operación MDR protege a más de 40.000 clientes. Su cartera de productos más amplia presta servicio a más de 625.000 organizaciones, lo que proporciona a la empresa una gran base de señales de seguridad y experiencia operativa.
A esa escala, incluso una pequeña cantidad de trabajo manual por caso se vuelve costosa. El volumen de casos también puede crecer más rápido de lo que una organización puede contratar y formar analistas experimentados.
La implementación de Daybreak cambia la ecuación de escalabilidad. Sophos puede aumentar la capacidad de inferencia de modelos y automatización sin contratar a un analista por cada incremento correspondiente de investigaciones rutinarias.
Esto no significa que los analistas desaparezcan del modelo operativo. Significa que su trabajo deja de centrarse en recopilar contexto rutinario y se orienta hacia ataques novedosos, evidencia ambigua, comunicación con clientes, búsqueda de amenazas y gobernanza.
La distinción es importante para los compradores. Una herramienta que produce un resumen de incidentes puede ahorrar minutos, pero sigue colocando la carga de decisión y ejecución en una cola humana.
Un agente que recopila evidencia, prueba una hipótesis, llega a un veredicto acotado y realiza una acción aprobada cambia la propia cola. Los casos rutinarios ya no necesitan esperar a que un analista intervenga en cada paso.
Sophos ya había creado una importante canalización de filtrado antes de Daybreak. Una descripción anterior de su flujo de eventos MDR explicó cómo se limpia, enriquece, correlaciona, prioriza y escala la telemetría.
Esa canalización procesaba unos 31.000 millones de eventos y 358 millones de detecciones en un día típico en el momento de la publicación. Redujo esa actividad a 367 investigaciones, 47 escalaciones y una amenaza activa.
Estas cifras anteriores describen un periodo de informe diferente y no deben combinarse directamente con las estimaciones diarias más recientes. Aun así, ilustran por qué el filtrado es central para las operaciones de seguridad gestionadas.
Los agentes intervienen después de que varias capas ya hayan reducido los datos. No razonan de forma independiente sobre cada evento bruto generado por cada cliente.
Esta arquitectura proporciona a Sophos una ventaja defendible frente a empresas que aplican modelos de propósito general directamente a alertas no estructuradas. Los agentes reciben casos seleccionados, inteligencia de amenazas, guías de respuesta y contexto del cliente.
Los competidores persiguen un terreno similar. Los agentes de Microsoft Security Copilot pueden ayudar con la clasificación de incidentes, inteligencia de amenazas, investigaciones y orientación para la remediación en los productos de seguridad de Microsoft.
La documentación de Microsoft describe agentes que analizan incidentes, extraen entidades, correlacionan señales y determinan si una actividad es maliciosa. Esto confirma que las operaciones de seguridad lideradas por agentes se están convirtiendo en una competencia del sector, no en un experimento de una sola empresa.
El diferenciador de Sophos es su afirmación de resolución integral a escala de producción dentro de un servicio gestionado. Los competidores afrontarán presión para revelar tasas de finalización, tiempos de respuesta, tasas de escalación y modelos de autorización comparables.
Cómo los agentes de seguridad de IA de Sophos dividen el trabajo
El mecanismo funciona porque Sophos limita la autoridad de los agentes según el tipo de caso, la preferencia del cliente y el impacto potencial.
OpenAI describe Daybreak como una plataforma de ciberseguridad gobernada que combina modelos especializados, un entorno de ejecución, herramientas de seguridad, flujos de trabajo de confianza y socios del sector. Su objetivo declarado es respaldar el trabajo defensivo manteniendo el control humano sobre el acceso y la acción.
Sophos proporciona el entorno operativo que rodea a esos modelos. Ese entorno incluye inteligencia de amenazas, procedimientos de investigación, telemetría de clientes, lógica de detección y guías de respuesta desarrolladas durante años de operaciones de seguridad.
Esta combinación importa porque un modelo de lenguaje por sí solo no sabe si un proceso desconocido es normal para una organización concreta. Necesita detalles actuales de los activos, información de identidad, actividad histórica y evidencia de seguridad verificada.
Para cada caso, el agente de investigación reúne ese contexto. El sistema de planificación sigue entonces un ciclo de planificación, ejecución y revisión, en lugar de generar una sola respuesta a partir de un único prompt.
Dividir el trabajo en fases permite al sistema reevaluar su evidencia. También genera un registro estructurado que los analistas pueden revisar cuando un caso necesita escalación.
Sophos divide la autoridad de respuesta al cliente en tres modos operativos. En Notify, Sophos investiga y recomienda una acción, pero el cliente la realiza.
En Collaborate, Sophos y el cliente trabajan juntos antes de actuar. En Authorise, Sophos puede responder directamente por el cliente dentro de los límites acordados.
Estas reglas se aplican independientemente de que el trabajo lo realice una persona o un agente. Un agente no recibe automáticamente una autoridad más amplia simplemente porque pueda llegar rápidamente a un veredicto.
Las acciones potencialmente destructivas siguen sujetas a la supervisión adecuada. John Peterson, director de tecnología de Sophos, dijo a OpenAI que los casos fuera del nivel de comodidad de la empresa pasan al juicio humano.
Esto crea dos patrones operativos relacionados. La automatización con supervisión humana permite a los especialistas vigilar trabajo bien delimitado sin aprobar cada acción individualmente.
La operación con intervención humana requiere que una persona intervenga antes de que avance una decisión o respuesta sensible. Sophos afirma que utiliza este modelo más estricto para patrones novedosos, decisiones de alto impacto y casos que requieren contexto empresarial.
Esta división ayuda a explicar cómo una automatización del 52% puede coexistir con la responsabilidad humana. La parte automatizada representa casos que Sophos considera ajustados a límites establecidos, no permiso para una respuesta autónoma sin restricciones.
También explica por qué el 48% restante es significativo. Es probable que los casos que se resisten a la automatización contengan comportamientos inusuales, evidencia incompleta o consecuencias empresariales que exigen una experiencia más profunda.
Una interpretación simple centrada en la productividad pasa por alto esta redistribución. El valor del sistema depende de si desplaza a los analistas hacia un trabajo más trascendente sin permitir que sus capacidades rutinarias de investigación se deterioren.
Las organizaciones que adopten sistemas similares necesitarán documentación duradera para guías de respuesta, incidentes anteriores y excepciones operativas. Una base de conocimiento de ingeniería con capacidad de búsqueda puede ayudar a los equipos a preservar ese contexto, aunque no puede sustituir controles de seguridad validados.
Por tanto, el mecanismo tiene dos componentes esenciales. Los modelos aportan velocidad y capacidad de razonamiento, mientras que la gobernanza decide qué conclusiones pueden desencadenar una acción.
La supervisión humana es un sistema de control, no un eslogan
La cuestión sin resolver es si Sophos puede medir los errores de los agentes con el mismo rigor con el que mide su velocidad.
La reducción del 96% y la tasa de cierre del 52% describen el rendimiento. No revelan tasas de falsos positivos, tasas de falsos negativos, casos reabiertos, reversiones de clientes ni la frecuencia de las correcciones de los analistas.
Estas omisiones no invalidan los resultados. Limitan lo que los observadores externos pueden concluir sobre la fiabilidad.
Una respuesta rápida es valiosa cuando un agente aísla correctamente un dispositivo comprometido. Esa misma velocidad se vuelve peligrosa si desactiva un sistema crítico tras interpretar erróneamente una actividad administrativa legítima.
Los agentes de ciberseguridad también operan en un entorno adversarial. Los atacantes pueden crear deliberadamente archivos, mensajes, comandos y contenido web diseñados para confundir el análisis automatizado.
Los modelos pueden generar interpretaciones plausibles pero incorrectas cuando las pruebas son incompletas. También pueden depositar una confianza excesiva en indicadores débiles o pasar por alto un contexto que un analista experimentado reconocería.
No se trata de una limitación teórica exclusiva de Sophos. Anthropic informó de que un sistema de IA implicado en una campaña orquestada de ciberespionaje a veces exageraba hallazgos y fabricaba datos durante su trabajo autónomo.
En su análisis de la campaña, se informó de que el modelo afirmó obtener credenciales que no funcionaron y etiquetó erróneamente información pública como descubrimientos importantes.
Ese caso se refería al uso indebido ofensivo, no al sistema defensivo de Sophos. Aun así, demuestra por qué las pruebas y conclusiones generadas por modelos requieren validación antes de emprender acciones con consecuencias.
Microsoft emite advertencias similares para sus propios agentes de seguridad. Su guía de IA responsable señala que las respuestas generadas pueden ser inexactas, incompletas o estar desactualizadas.
Microsoft aconseja a los clientes aplicar una supervisión humana adecuada, validar los resultados críticos, usar permisos de mínimo privilegio y evitar una dependencia excesiva. Estos principios se aplican por igual a cualquier agente que pueda investigar o responder.
Los tres modos de autorización de Sophos proporcionan un marco de control creíble. Sin embargo, la solidez de ese marco depende de cómo se definan, prueben, supervisen y revisen los límites.
La empresa afirma que los analistas calibran continuamente los límites. Una mayor divulgación ayudaría a los clientes a entender qué significa ese proceso en la práctica.
Entre las métricas útiles estarían el porcentaje de casos automatizados reabiertos posteriormente, la tasa de anulaciones por parte de clientes y el número de acciones bloqueadas por políticas de seguridad. Sophos también podría informar del rendimiento por categoría de caso.
Los resultados agregados pueden ocultar variaciones importantes. La contención de malware, el análisis de phishing, el compromiso de identidad, las configuraciones erróneas en la nube y la actividad interna presentan pruebas y consecuencias diferentes.
Los clientes también necesitan claridad sobre el tratamiento de los datos. Una investigación puede implicar detalles de dispositivos, identidades de usuarios, metadatos de correo electrónico, inteligencia de amenazas e información obtenida de productos de seguridad de terceros.
Las preguntas pertinentes incluyen dónde se procesan los datos, durante cuánto tiempo se conservan, qué componentes del modelo pueden acceder a ellos y cómo se registran las acciones. Los controles contractuales importan tanto como el rendimiento del modelo.
La supervisión humana tiene sus propios modos de fallo. Los analistas pueden prestar menos atención cuando la automatización suele ser correcta, un patrón que a menudo se describe como sesgo de automatización.
Los revisores también necesitan suficiente visibilidad sobre las pruebas y el proceso de razonamiento del agente para cuestionar su conclusión. Una recomendación sin respaldo trazable fomenta la aprobación por hábito.
Por tanto, la prueba no es si queda una persona en algún punto del flujo de trabajo. La prueba es si esa persona tiene autoridad, tiempo, contexto y pruebas utilizables para detener una mala acción.
La verdadera competencia es entre autonomía acotada y asistencia de copiloto
Sophos apuesta por que la autonomía gobernada aporta más valor operativo que un asistente de IA que espera la siguiente indicación de un analista.
La primera generación de copilotos de seguridad se centró en el acceso conversacional. Los analistas podían solicitar resúmenes de incidentes, generar consultas, explicar scripts sospechosos y redactar instrucciones de remediación.
Estas funciones reducen el trabajo cognitivo y administrativo. No necesariamente eliminan casos de la cola de investigación.
El enfoque de Sophos abarca todo el ciclo de vida de casos seleccionados. El agente recopila contexto, planifica una investigación, realiza pasos, revisa resultados, recomienda una respuesta y, en ocasiones, la ejecuta.
Esa diferencia genera la tensión principal del artículo. La asistencia de copiloto mantiene a una persona en cada ciclo operativo, mientras que la autonomía acotada elimina ese requisito para casos repetibles.
Ninguna de las dos vías es universalmente superior. La asistencia de copiloto es más fácil de introducir cuando la calidad de los datos varía, los procesos siguen siendo informales o las consecuencias de un error son graves.
La autonomía acotada se vuelve más atractiva cuando una organización dispone de telemetría fiable, procedimientos maduros, permisos claros y suficiente volumen de casos para justificar una validación exhaustiva.
Sophos cuenta con varias de esas condiciones. Su servicio gestionado centraliza procedimientos entre miles de clientes y encuentra repetidamente patrones de ataque reconocibles.
Un equipo típico de seguridad empresarial puede no tener la misma ventaja. Sus registros pueden ser incompletos, sus procesos de respuesta pueden diferir entre unidades de negocio y la propiedad puede ser poco clara.
Esa diferencia limita las comparaciones directas entre Sophos y los centros de operaciones de seguridad internos. Un proveedor gestionado puede estandarizar la infraestructura y las políticas de forma más agresiva que muchos clientes individuales.
También significa que el resultado de Daybreak es, en parte, una historia operativa. El modelo se integra en un sistema que ya filtra eventos, enriquece detecciones, organiza casos y define la autoridad de respuesta.
El programa más amplio Daybreak de OpenAI plantea la ciberseguridad como un ciclo continuo que abarca inventario, descubrimiento, validación, asignación, remediación y verificación. Esa ambición va mucho más allá de la asistencia basada en chat.
Si ese modelo se extiende, los compradores necesitarán un vocabulario mejor para evaluar la automatización. La etiqueta “impulsado por IA” dice muy poco sobre lo que realmente hace un producto.
Una evaluación útil debe preguntar qué inicia al agente, qué pruebas puede recuperar, qué herramientas puede operar y qué acciones puede realizar. Los compradores también deben preguntar cuándo la escalada se vuelve obligatoria.
La tasa de finalización es otra métrica importante. Un agente que cierra de forma autónoma un caso bien definido produce un resultado distinto al de uno que ahorra a un analista varios minutos.
Sin embargo, los proveedores no deberían competir por maximizar los cierres autónomos a cualquier coste. Una tasa de cierre inferior puede reflejar umbrales de seguridad más estrictos o una base de clientes más compleja.
El objetivo significativo es una tasa de automatización adecuada para un nivel de riesgo definido. Eso exige informes conjuntos sobre velocidad, precisión, calidad de escalada e impacto operativo.
Sophos ha acercado el debate a ese estándar al publicar un tiempo de respuesta y una tasa de cierre de principio a fin. El siguiente paso es acompañar esas cifras con medidas transparentes de fiabilidad.
Qué observar tras el despliegue de OpenAI Daybreak
La siguiente fase determinará si Sophos ha establecido un modelo operativo de seguridad duradero o si ha publicado una instantánea impresionante de cargas de trabajo favorables.
La primera señal es la calidad de los casos automatizados a lo largo del tiempo. Los clientes deben estar atentos a divulgaciones sobre investigaciones reabiertas, respuestas incorrectas, amenazas no detectadas y anulaciones por parte de analistas.
Un rendimiento estable reforzaría el argumento de Sophos de que la tasa de cierre del 52% refleja una automatización fiable. Un aumento de las tasas de corrección sugeriría que una mayor autonomía está desplazando el trabajo en lugar de eliminarlo.
La segunda señal es la expansión hacia acciones de respuesta más difíciles. Sophos afirma que planea ampliar los casos de uso de los agentes y hacer más sofisticadas sus capacidades de respuesta.
Esa expansión pondrá a prueba el marco de gobernanza. Recopilar pruebas y contener un endpoint malicioso conocido presenta riesgos distintos a modificar permisos de identidad o interrumpir infraestructura de producción.
Por tanto, el éxito debe medirse por un alcance controlado, no simplemente por un porcentaje de automatización más alto. La empresa debe demostrar que la autoridad adicional llega acompañada de mecanismos adecuados de evaluación y reversión.
La tercera señal son los informes de la competencia. Microsoft y otros proveedores de seguridad ya ofrecen agentes para flujos de trabajo de triaje, investigación, inteligencia de amenazas y remediación.
Si los competidores comienzan a publicar tasas de resolución de principio a fin y datos de tiempos comparables, los compradores obtendrán una referencia de mercado más clara. Si evitan esas métricas, la divulgación de Sophos en producción seguirá siendo un diferenciador destacado.
Los clientes deben seguir examinando si las comparaciones usan el mismo punto de partida. El “tiempo de respuesta” puede comenzar con la generación de una alerta, la creación de un caso, la activación del modelo o la validación de un analista.
También deben diferenciar la contención automatizada de la remediación completa. Aislar un dispositivo puede detener la actividad inmediata, pero restaurar sistemas y cerrar la vía de acceso del atacante puede requerir trabajo adicional.
Para los responsables de seguridad, la respuesta práctica no consiste en exigir autonomía sin restricciones. Consiste en identificar casos de gran volumen con pruebas fiables, acciones reversibles y reglas de escalada maduras.
Después pueden evaluar si los agentes reducen el trabajo total de los analistas sin debilitar la calidad de detección ni la rendición de cuentas. Esa evaluación debe incluir pruebas adversariales y muestreos rutinarios de casos cerrados automáticamente.
Los resultados comunicados por Sophos hacen más difícil posponer esa evaluación. Una reducción de 38 minutos a 89 segundos cambia las expectativas para las investigaciones gestionadas rutinarias, incluso con las limitaciones actuales de verificación.
OpenAI Daybreak también muestra dónde los agentes empresariales se están volviendo más decisivos. Su valor reside menos en producir explicaciones fluidas y más en completar flujos de trabajo gobernados conectados a herramientas reales.
La pregunta final para los compradores es concreta: ¿puede un proveedor mostrar qué casos cierran sus agentes, con qué frecuencia se corrigen esas decisiones y quién sigue siendo responsable cuando falla la automatización?
Esas respuestas importarán más que el mayor porcentaje de titular. Los equipos de seguridad deben solicitarlas antes de conceder a cualquier agente una autoridad más amplia y seguir midiéndolas después del despliegue.
