Protección contra amenazas a la identidad basada en inteligencia artificial

La mayoría de las plataformas de inteligencia sobre amenazas utilizan la IA para resumir publicaciones en foros, conversaciones en la web oscura y datos indexados sobre filtraciones, convirtiendo grandes volúmenes de texto existente en resúmenes fáciles de leer. Esa capacidad reduce el tiempo de lectura, pero no cambia el contenido de los datos subyacentes ni los análisis que se pueden realizar a partir de ellos. SpyCloud AI Insights funciona de forma diferente en dos aspectos. En primer lugar, la base de datos es diferente: AI Insights se alimenta de cientos de miles de millones de artefactos de identidad recuperados —credenciales en texto plano, registros de malware de robo de información, cookies de sesión, resultados de kits de phishing e información de identificación personal (PII)— obtenidos directamente de la infraestructura delictiva, no extraídos de publicaciones en foros públicos ni de volcados de filtraciones indexados. Los competidores que supervisan las conversaciones en foros delictivos ven lo que los delincuentes dicen sobre los datos robados. SpyCloud recupera los propios datos robados. En segundo lugar, el modelo analítico es diferente: AI Insights codifica las técnicas de investigación desarrolladas por los propios investigadores de ciberdelincuencia de SpyCloud a lo largo de más de una década, aplicándolas al reconocimiento de patrones y a la correlación de identidades a una escala que ningún equipo de analistas humanos podría alcanzar. El resultado es información de inteligencia completa con señales de atribución, indicadores de riesgo y artefactos de origen rastreables, no un resumen de lo que otros han escrito sobre una amenaza.

Las técnicas de investigación necesarias para pasar de un único dato —una dirección de correo electrónico, un nombre de usuario, una dirección IP— a un perfil completo del actor malicioso o a un inventario exhaustivo de la exposición tras la infección han requerido históricamente la intervención de analistas sénior. Los analistas de SOC de nivel 1 y los investigadores junior carecen del conocimiento institucional necesario para saber qué análisis realizar, qué datos son relevantes y cómo sintetizar registros fragmentados en un panorama coherente. AI Insights automatiza los pasos de correlación y síntesis que requieren esa experiencia. Cuando un analista envía un selector, AI Insights aplica la correlación IDLink para sacar a la luz activos de identidad relacionados, compara patrones en el conjunto de datos recuperado por SpyCloud para identificar relaciones sospechosas y señales de atribución, y a continuación genera información de inteligencia finalizada —un resumen estructurado y anotado con pruebas de origen trazables— que un analista de nivel 1 puede leer, verificar y sobre la que puede actuar sin necesidad de comprender toda la metodología analítica que hay detrás. Un cliente informó de un aumento del 400 % en la productividad de los analistas tras implementar SpyCloud Investigations con AI Insights. Un responsable del SOC de una aerolínea global señaló que había reducido dos horas de trabajo del SOC a unos pocos minutos. Esta capacidad no solo permite un análisis más rápido, sino que también significa que las organizaciones pueden llevar a cabo investigaciones más exhaustivas con la plantilla de analistas existente, en lugar de contratar personal sénior de CTI.

Las herramientas de detección de comportamientos —SIEM, EDR, UEBA— identifican actividades anómalas dentro del entorno de una organización una vez que se han producido eventos de autenticación, accesos a archivos o conexiones de red. Funcionan a partir de señales generadas por las acciones de los atacantes una vez que ya se encuentran dentro del sistema. SpyCloud AI Insights, en cambio, se basa en señales generadas antes de que los atacantes actúen: los datos de identidad robados que circulan en los mercados delictivos y que representan un acceso futuro, no un comportamiento anómalo actual. Un empleado cuyas credenciales hayan sido robadas por un malware de robo de información no genera ninguna señal de comportamiento hasta que el atacante pruebe dichas credenciales. Una víctima de phishing de AitM cuyas cookies de sesión hayan sido interceptadas no muestra ninguna anomalía en el proveedor de identidad hasta que el atacante reproduzca la cookie. Un actor malicioso que haya adquirido un registro de malware que contenga huellas digitales de dispositivos de empleados aún no ha activado ni una sola alerta en la pila de la organización. AI Insights saca a la luz estas vulnerabilidades previas al ataque correlacionando los datos delictivos recuperados con la superficie de identidad de una organización, encontrando así las pruebas de futuros ataques en la actividad actual del mercado delictivo. El resultado es una señal de detección que llega antes de que sean posibles las anomalías de comportamiento, lo que da a los equipos de seguridad la oportunidad de actuar antes de que se aproveche el acceso, en lugar de después de que se haya producido el daño.

SpyCloud AI Insights está diseñado para ser totalmente explicable y basarse en pruebas. Cada conclusión que genera se puede rastrear hasta artefactos de origen específicos —registros reales recuperados del conjunto de datos de la darknet de SpyCloud—, de modo que los analistas puedan verificar de forma independiente las pruebas subyacentes en lugar de aceptar el resultado del modelo tal cual. Los indicadores de riesgo incluyen información contextual sobre por qué la exposición es relevante, qué contiene el registro de origen y cómo llegó la IA a su conclusión. Este diseño refleja una elección deliberada de reforzar el criterio del analista en lugar de sustituirlo. En contextos de seguridad en los que un falso positivo lleva al equipo de respuesta a incidentes por el camino equivocado o un falso negativo pasa por alto una amenaza activa, la explicabilidad es fundamental desde el punto de vista operativo, no una mera característica de cumplimiento normativo. Los modelos de técnicas de análisis integrados en AI Insights codifican los mismos pasos de verificación que aplicaría un analista humano experto: cotejar múltiples puntos de datos, evaluar la fiabilidad de la fuente y marcar las inferencias de baja confianza de forma diferente a las de alta confianza. Los analistas conservan la autoridad para tomar decisiones en todo momento; AI Insights proporciona el análisis estructurado que permite situar esa decisión de forma adecuada.

No. SpyCloud no utiliza datos de clientes para entrenar sus modelos de IA. AI Insights opera exclusivamente con datos de exposición de identidades recopilados externamente por SpyCloud —registros de filtraciones, registros de malware de robo de información, capturas de phishing y datos del mercado negro recopilados a lo largo de más de una década—, junto con técnicas de investigación codificadas por los propios analistas de SpyCloud. Los datos de los clientes enviados a través de las API o la consola de SpyCloud —direcciones de correo electrónico de empleados, listas de seguimiento de dominios, selectores de consultas— se utilizan únicamente para compararlos con el conjunto de datos recopilados por SpyCloud y ofrecer resultados relevantes. No se incorporan a los procesos de entrenamiento de los modelos. La plataforma de SpyCloud está diseñada siguiendo los principios de «privacidad desde el diseño» y cumple con el RGPD, la CCPA y otras normativas de protección de datos aplicables. Esta distinción es importante para los responsables de seguridad que están evaluando si la implementación de una herramienta basada en IA supone un riesgo secundario de que sus datos de identidad sensibles se incorporen a conjuntos de datos de entrenamiento que podrían ser consultados por otros clientes o quedar expuestos a través de ataques de inferencia de modelos. Con SpyCloud, ese riesgo no existe.

Research Agent es el flujo de trabajo de investigación basado en agentes de SpyCloud, disponible en las licencias Pro de Cybercrime Investigations. Es una expresión directa de la IA de SpyCloud aplicada específicamente a la planificación y ejecución de investigaciones. Basta con introducir una pregunta, una hipótesis, el nombre de un sujeto o un conjunto de activos variados para que planifique la investigación tal y como lo haría un analista sénior: razonando sobre el objetivo, decidiendo qué líneas de investigación merece la pena seguir, secuenciando el trabajo y proporcionando información de inteligencia completa basada en el corpus de fuentes criminales recopilado por SpyCloud. Cada hallazgo cita el registro específico en el que se basa y es totalmente explicable. Research Agent activa automáticamente la correlación holística de identidades de IDLink en cada interacción y funciona en conjunto con AI Insights, de modo que los analistas pasan del primer indicador a la información de inteligencia final sin necesidad de cambiar de herramienta ni empezar de cero.

AI Insights y Research Agent son capacidades distintas que funcionan conjuntamente en el marco de las investigaciones sobre ciberdelincuencia. AI Insights detecta patrones de comportamiento, identifica señales de atribución y elabora informes de inteligencia listos para su presentación a la dirección, aplicando automáticamente los métodos de investigación de SpyCloud a los datos de exposición. Research Agent es un flujo de trabajo de investigación basado en agentes: acepta entradas en lenguaje natural, planifica la investigación, ordena los giros de la investigación y presenta los resultados junto con las pruebas que respaldan cada uno de ellos. AI Insights transforma lo que la investigación saca a la luz. Research Agent decide cómo se lleva a cabo la investigación. Juntos cubren todo el flujo de trabajo, desde el primer indicador hasta la información de inteligencia finalizada y compartible.