El problema fundamental que aborda este sistema es la sobrecarga de información y la fatiga de alertas que enfrentan los analistas de seguridad en entornos de gran escala. La proliferación de alertas de seguridad, a menudo correlacionadas o ruidosas, exige una cantidad desproporcionada de tiempo humano para la recolección de evidencia, la contextualización y la toma de decisiones. Esto se agrava por la naturaleza heurística de muchas detecciones, que requieren validación y desambiguación.
La solución propuesta es un 'arnés' de agentes de IA que estructura el proceso de análisis, delegando tareas repetitivas y de bajo nivel a modelos especializados, mientras mantiene al analista humano en el bucle para la decisión final. Esto se alinea con el principio de 'human-in-the-loop' en sistemas autónomos, donde la IA aumenta la capacidad humana en lugar de reemplazarla por completo. La clave es la orquestación de múltiples agentes con roles definidos, mitigando problemas de alucinación y deriva de contexto observados en enfoques de agente único.
Arquitectura del Sistema
El sistema se compone de un 'arnés' que orquesta una serie de agentes de IA y código de aplicación determinista. La fase inicial, denominada 'reconocimiento', es ejecutada por código de aplicación determinista y no involucra inferencia de IA. Esta fase recolecta un 'dossier' de evidencia versionado que incluye identidad del cliente, historial de detecciones, línea base de tráfico, resultados de aplicación de políticas y observaciones de red. Cada pieza de dato se almacena con su fuente, versión y timestamp, asegurando la reproducibilidad del análisis.
Posteriormente, un modelo de triaje ligero, Clef (un modelo de decisión de código abierto de Cloudflare), ejecutándose en Workers AI, filtra el ruido temprano. Este modelo compara la alerta con datos de reconocimiento para identificar falsos positivos conocidos o patrones de tráfico normales, evitando que alertas de bajo riesgo lleguen a los agentes especializados. Las alertas que requieren una revisión más profunda son procesadas por un agente coordinador que lanza cuatro agentes de IA especializados en paralelo: Análisis de Tráfico, Contexto del Cliente, Telemetría Global e Inteligencia de Amenazas. Cada agente tiene un alcance y un vocabulario de salida restringidos. Un agente de síntesis combina los hallazgos tipados de estos especialistas en un informe de asesoramiento, sin capacidad para buscar nueva evidencia o clasificar fuera de un vocabulario aprobado. La validación de las citas y la coherencia de la evidencia se realiza mediante código de aplicación. El estado de la investigación y el asesoramiento se gestiona en D1 (base de datos), los artefactos de contexto y evidencia en R2 (almacenamiento de objetos), y el estado del chat de casos en Durable Objects. Finalmente, un agente LLM genera un informe de asesoramiento para el analista, que incluye la evidencia subyacente y las recomendaciones de mitigación.
Flujo de Procesamiento de Alertas de Seguridad
- 1 Alerta Recibida Una alerta de seguridad es generada por un sistema de detección.
- 2 Reconocimiento (Código App) Código determinista recolecta identidad, historial, tráfico, políticas, etc. ...
- 3 Triaje (Clef en Workers AI) Modelo ligero filtra ruido y falsos positivos conocidos.
- 4 Coordinador AI Orquesta la ejecución paralela de agentes especialistas para alertas de alto ...
- 5 Agentes Especialistas (Paralelo) Análisis de Tráfico, Contexto Cliente, Telemetría Global, Inteligencia de Ame...
- 6 Síntesis AI Combina hallazgos tipados de especialistas en un asesoramiento preliminar.
- 7 Validación de Evidencia (Código App) Verifica citas y coherencia de la evidencia en el paquete.
- 8 Decisión Final (Analista Humano) Analista revisa, acepta, modifica o agrupa alertas en un caso.
| Capa | Tecnología | Justificación |
|---|---|---|
| compute | Workers AI | Plataforma de inferencia para modelos de IA ligeros (Clef) y agentes especializados, proporcionando ejecución distribuida y de baja latencia. |
| data-processing | Clef | Modelo de decisión de código abierto de Cloudflare utilizado para triaje rápido y puntuación de evidencia, optimizado para razonamiento agentic. |
| storage | D1 | Base de datos para mantener el estado de la investigación y el asesoramiento, probablemente para datos estructurados y de baja latencia. |
| storage | R2 | Almacenamiento de objetos para artefactos de contexto y evidencia, adecuado para datos no estructurados y de mayor volumen. |
| orchestration | Workflows | Coordina las diferentes etapas del proceso de análisis, asegurando la persistencia del trabajo completado entre etapas y la reutilización de evidencia validada en caso de fallos. |
| compute | Durable Objects | Mantiene el estado del chat de casos y proporciona una identidad única y persistente para objetos distribuidos, crucial para la interacción en tiempo real y el estado de larga duración. |
| data-processing | OpenAI Daybreak Defense Network / Anthropic (GPT-5.6 Cyber, Mythos) | Modelos LLM externos utilizados para análisis profundo y generación de informes de asesoramiento, aprovechando capacidades avanzadas de lenguaje natural. |
Trade-offs
Ganancias
- ▲ Reducción del tiempo de análisis de alertas
- ▲ Reducción de la fatiga del analista
- ▲ Mejora en la consistencia de las decisiones
- ▲ Reproducibilidad del análisis
Costes
- △ Complejidad del sistema multi-agente
- △ Dependencia de modelos LLM externos
- △ Costos de inferencia de IA
Fundamentos Teóricos
Este enfoque resuena con principios de sistemas distribuidos y procesamiento de información. La división de un problema complejo en tareas más pequeñas y manejables para agentes especializados, coordinados por un agente superior, es un patrón común en la investigación de sistemas multi-agente, que se remonta a trabajos como los de Minsky sobre la 'Sociedad de la Mente' (1986). La necesidad de una recolección de evidencia determinista y reproducible antes de la inferencia de IA aborda el problema de la 'no-determinismo' en sistemas basados en IA, un desafío bien conocido en la verificación y validación de sistemas complejos. La validación de la evidencia y la trazabilidad de las fuentes se alinea con los principios de la 'explicabilidad' (XAI) y la 'auditoría' en sistemas de IA, cruciales para la confianza y la responsabilidad en aplicaciones críticas como la seguridad. La gestión del estado y la persistencia de datos en D1, R2 y Durable Objects refleja patrones de diseño de bases de datos distribuidas y almacenamiento de objetos, fundamentales para la escalabilidad y resiliencia en entornos de hyperscaler.