Netskope: 42% de alertas de seguridad quedan sin investigar

El 42% de las alertas de seguridad nunca se investiga

El 42% de las organizaciones deja alertas, casos o tickets sin investigar, y un 24% admite que datos sensibles, sistemas o usuarios permanecen expuestos más tiempo del necesario. Son dos de los hallazgos del informe «2026 State of AI Agents in Security and Network Operations», elaborado por Cybersecurity Insiders con el apoyo de Netskope a partir de una encuesta a 921 profesionales de seguridad, redes y TI.

El dato rompe una intuición extendida: el problema de las operaciones de seguridad ya no es detectar, sino responder. Y esa brecha es exactamente el hueco donde las startups están metiendo agentes de IA, muchas veces con más promesas comerciales que gobernanza real.

¿Por qué los equipos detectan mejor pero resuelven más lento?

El informe mide la asimetría con dos números: el 60% de los encuestados afirma haber mejorado su capacidad de detección en los últimos dos años, pero solo el 49% percibe mejoras en la respuesta y la resolución. La detección escaló; la resolución se quedó atrás.

Detrás de esa brecha hay capacidad humana. El 81% de los equipos dice que su carga de trabajo creció durante el último año, y apenas el 11% logra mantener el ritmo de forma constante. El 45% atribuye el agotamiento profesional, la rotación o las vacantes sin cubrir a limitaciones operativas, y el 40% resuelve los incidentes más despacio de lo previsto.

El otro culpable es la fragmentación. Solo el 9% considera que sus herramientas de seguridad y de redes están altamente integradas, y el 51% señala la dispersión de información como el principal obstáculo para resolver incidencias con rapidez. La misma cifra reaparece en el anuncio de octubre de 2026 del AgentSkope Marketplace de Netskope: en esa encuesta, el 51% nombró el contexto disperso como el primer obstáculo.

Ese patrón no es exclusivo de las grandes corporaciones. En 2025, Kaseya monitoreó más de 27.600 millones de eventos SaaS, de los cuales casi el 98,9% eran de baja severidad, aunque más de 278,9 millones fueron alertas de nivel medio o crítico, según un análisis publicado por The Hacker News. Con ese volumen, la clasificación manual falla: la propia Kaseya estima tasas de error de triaje manual de entre el 20% y el 30%.

¿Qué papel juegan los agentes de IA en el triaje de alertas?

El informe identifica la clasificación y priorización de alertas —el triaje— como la aplicación inicial más prometedora. El 46% la considera una fuente importante de trabajo manual, otro 46% se siente cómodo delegándola en un agente y el 48% espera obtener de ella un valor significativo. Es un caso de uso atractivo porque permite organizar casos y reunir evidencias sin conceder al agente permiso para modificar sistemas.

La adopción, sin embargo, sigue en fase temprana: el 29% ya usa agentes en producción, el 53% los está evaluando o probando y solo el 7% los ha extendido a varios flujos de trabajo. El 56% valora emplearlos para ampliar la capacidad del equipo y el 47% prevé incorporarlos a flujos concretos durante el próximo año.

El contraste con las expectativas del mercado es notable. Gartner proyecta que, hacia 2028, el 70% de los SOC grandes pilotará agentes de IA para reforzar operaciones de nivel 1 y 2, pero solo el 15% logrará mejoras medibles sin una evaluación estructurada, según recoge Help Net Security. Y en la encuesta de Prophet Security citada en ese mismo análisis, el 72% de los equipos que ya usan IA reportó recortes de al menos el 25% en el tiempo de investigación.

¿Hasta dónde dejar que un agente actúe solo?

Aquí está el nudo del asunto. El 68% de los encuestados no permitiría que un agente realizara cambios operativos por sí solo: el 38% los descarta por completo y el 30% exige aprobación humana previa. Solo el 9% declara tener una confianza muy alta en su capacidad de gobernar agentes de IA, mientras el 45% reconoce tener poca o ninguna.

Los datos de otros estudios apuntan en la misma dirección. En la encuesta de Prophet Security, el 57% exige revisión humana de cada decisión de la IA antes de cerrar una alerta y ningún encuestado concede autonomía total sin supervisión. La oferta de producto se está moviendo en esa línea: Elastic presentó en octubre de 2026 AlertZero, un equipo de agentes para triaje, caza de amenazas y análisis forense donde cada cliente decide cuánta autonomía recibe cada tarea, según SiliconANGLE.

El riesgo de ir más rápido de lo que la gobernanza permite ya es medible. Según Insider Monkey, el 91% de las empresas carece hoy de capacidad para mitigar a tiempo acciones riesgosas de agentes, y el 54% de las organizaciones que usan agentes de IA registró una brecha de seguridad sospechada o confirmada en los últimos doce meses.

¿Qué significa esto para tu startup?

Si tu equipo tiene menos de 50 personas, probablemente no tienes un SOC: tienes dos o tres personas haciendo de todo. Eso hace que la brecha entre detección y resolución te golpee antes y más fuerte que a una corporación con presupuesto dedicado.

Tres lecturas prácticas:

• El triaje es el punto de entrada correcto. Es el caso de uso con mayor consenso (46% lo ve como trabajo manual pesado) y el de menor riesgo, porque el agente organiza y prioriza sin tocar sistemas. No empieces por la remediación automática.
• La gobernanza es el cuello de botella, no el modelo. Con solo un 9% de confianza alta en gobernar agentes, el diferenciador no será qué LLM usas, sino si puedes explicar cada acción. Identidad propia por agente, permisos mínimos y aprobación humana para cambios de alto impacto.
• No apagues reglas de detección por falta de capacidad. En la encuesta de Prophet Security, hasta el 40% de las organizaciones desactivó reglas por restricciones de capacidad, y cerca del 60% admitió que una alerta no investigada resultó material. Silenciar señal para bajar la carga es una decisión de cobertura que suele salir cara.

Cómo empezar sin quemar al equipo

El informe propone un camino gradual que se puede copiar casi tal cual:

• Mide antes de automatizar. Elige un proceso acotado y documenta la línea base: tiempo dedicado, casos investigados, resultados obtenidos. Sin punto de partida no hay forma de demostrar valor.
• Asegura el contexto. Verifica las fuentes y reúne los datos relevantes en un mismo caso. El 55% de los encuestados pide que los agentes compartan contexto entre herramientas y equipos; el 51% pide integración abierta y el 46% un modelo común de gobernanza.
• Mantén la trazabilidad. Registra bajo un único identificador las evidencias, aprobaciones, acciones y resultados hasta el cierre del caso.
• Limita la autonomía y asigna responsables. Define quién autoriza excepciones, quién puede detener al agente y quién dirige la recuperación ante un error.
• Prueba antes de ampliar. Ensaya entradas manipuladas, fallos y recuperación; amplía permisos solo si el agente demuestra seguridad y eficacia.

Un dato que refuerza la advertencia: en la encuesta de Prophet Security, el 72% de los equipos que usan IA intentó construir su propia herramienta, y el 46% terminó abandonándola, dejándola sin llegar a producción o reemplazándola por un producto comercial. Lo que falló no fue la idea, sino el mantenimiento.

Conclusión

Los agentes de IA pueden ayudar a los equipos de seguridad y redes a investigar más casos y reducir tareas manuales, pero su adopción no debería medirse por la velocidad de ejecución. El informe lo subraya: el valor depende de resultados verificables, información compartida y límites claros de actuación.

Para un founder, la conclusión es incómoda pero útil. Comprar un agente es fácil; gobernar lo que ese agente hace a las 3 de la mañana es lo difícil. La prioridad es ampliar la capacidad operativa sin renunciar a la supervisión humana ni a la responsabilidad por cada decisión.

Fuentes

• Revista Byte: la mayoría de empresas no investiga las alertas de seguridad (fuente original)
• Netskope Unveils AgentSkope Marketplace (Business Insider)
• Netskope (NTSK) Is Tackling a Major AI Agent Security Gap (Insider Monkey)
• Elastic's AlertZero puts AI agents to work on security alert overload (SiliconANGLE)
• Gartner: 70% of SOCs will pilot AI agents. Only 15% will see results (Help Net Security)
• The Alert Fatigue Trap: Why Consolidation Only Solves Half the Problem (The Hacker News)