Sophos: agentes de IA de OpenAI resuelven casos en 89s

¿Qué logró Sophos con los agentes de IA de Daybreak?

Sophos redujo el tiempo de investigación de amenazas en un 96% con agentes de IA construidos a través del programa Daybreak de OpenAI. El dato más llamativo: el tiempo medio de respuesta de los casos atendidos por esos agentes bajó a 89 segundos, frente a los 38 minutos que promediaba el proceso anterior de la compañía.

Según la historia de cliente que OpenAI publicó el 9 de octubre de 2026, el 52% de los casos de detección y respuesta gestionadas (MDR) de Sophos ya se resuelven de extremo a extremo con IA. Sophos protege a más de 625.000 organizaciones en distintos sectores y regiones.

Para un founder, la cifra relevante no es el 96% sino lo que hay detrás: la empresa escaló capacidad de cómputo en lugar de contratar más personal de ciberseguridad, un perfil escaso y caro. Ese es el cálculo que cualquier startup con equipos de soporte u operaciones puede replicar.

¿Cómo funcionan los agentes que investigan casos en 89 segundos?

El despliegue se apoya en Sophos Fusion, el sistema de defensa cibernética nativo de IA de la compañía que incluye Sophos MDR. Fusion reúne datos de sensores de más de 500 integraciones de terceros junto con los productos propios de Sophos. Esos sensores generan billones de eventos cada día, que Sophos reduce a entre 1.000 y 2.000 casos para que sus nueve centros de operaciones de seguridad (SOC) los investiguen.

Para cada caso, un agente de investigación recopila el contexto del cliente, las detecciones, los indicadores de compromiso y la inteligencia de amenazas relevante. Después, un modelo de planificación ejecuta un bucle de planificar-ejecutar-revisar: arma un plan de investigación, completa los pasos y genera un resumen con acciones de respuesta recomendadas para que los analistas lo revisen. Otros agentes pueden ejecutar partes de la respuesta.

El director de tecnología de Sophos, John Peterson, lo planteó como una cuestión de escala: el objetivo es extender la experiencia sectorial de la empresa a todos sus clientes, en lugar de darle a los analistas "otra herramienta". Antes de Daybreak, el proceso dependía principalmente de la experiencia humana, y Peterson señaló que el rendimiento previo ya superaba al del 96% de los centros de operaciones de seguridad profesionales.

¿Quién responde cuando el agente actúa?

Sophos incorporó el control del cliente en su servicio MDR mediante tres modos de operación:

• Notificar: Sophos investiga el caso y recomienda una respuesta, pero el cliente actúa.
• Colaborar: Sophos y el cliente trabajan juntos antes de que se tome cualquier acción.
• Autorizar: Sophos puede responder directamente en nombre del cliente.

Los mismos límites aplican tanto si el trabajo lo realiza una persona como un agente, y las acciones potencialmente destructivas siguen requiriendo el nivel adecuado de supervisión humana. "Todo lo que no nos sentimos cómodos que maneje un agente se delega al juicio humano", dijo Peterson.

Ese diseño no es un detalle de cumplimiento normativo. Según un análisis publicado por El Periódico Digital, el riesgo no viene solo de los atacantes: existe el sesgo de automatización, el fenómeno por el cual un revisor humano confía cada vez más en las decisiones de la IA. Después de validar 99 decisiones correctas, la número 100 se revisa con menos atención, y ahí es donde suele aparecer el error más caro. La confianza acumulada en el agente puede ser tan peligrosa como una vulnerabilidad técnica.

¿Qué significa esto para tu startup?

Tres lecturas concretas del caso:

1. El cuello de botella se movió de la detección a la respuesta. Sophos ya reducía miles de millones de eventos a un puñado de casos. Lo que cambió con Daybreak fue la velocidad de investigar y cerrar cada uno. Si tu producto genera alertas, tu diferencial competitivo está en el tiempo hasta la resolución, no en la cantidad de señales que emites.

2. Automatizar no es lo mismo que delegar. El modelo de tres modos (notificar, colaborar, autorizar) es una plantilla reutilizable para cualquier startup que ponga agentes frente a clientes. Definir el nivel de autonomía por tipo de acción, y no por tipo de cliente, es lo que permite vender a empresas reguladas sin frenar el producto.

3. La escasez de talento es el argumento de venta. Sophos escaló cómputo en lugar de personal especializado. Ese mismo cálculo lo puede hacer una startup de logística, de soporte o de análisis financiero: cada caso que un agente resuelve de extremo a extremo es una contratación que no se hace.

¿Qué mirar antes de poner agentes en producción?

El caso de Sophos llega en un momento de adopción acelerada. IndraMind Cybersecurity presentó en marzo de 2026 su Smart MDR AI-SOC Agent, una solución con IA nativa que, según la compañía, detecta actividad sospechosa en menos de 10 minutos, mejora hasta cinco veces los tiempos de investigación y resolución, y reduce más del 80% de las alertas de escaso valor manteniendo los falsos positivos por debajo del 2%, según recogió Europa Press.

La contracara la señaló El Confidencial Digital en octubre de 2026: el error más común es tratar a un agente como una herramienta más, cuando en realidad es un actor con permisos. Antes de darle las llaves de tus sistemas, la lista mínima es:

• Guardarraíles a medida: límites claros de qué puede y qué no puede hacer el agente, con detección de intentos de manipulación como la inyección de prompts.
• Permisos mínimos: cada agente accede solo a los datos y servicios imprescindibles para cumplir su tarea.
• Trazabilidad: registro de cada decisión, consulta y acción, para poder auditar después qué ocurrió y por qué.
• Responsable identificable: una persona o equipo que responda por el funcionamiento y los límites del agente.

Ese último punto es el que más resistencia genera, y también el que más importa. Cuando un agente bloquea por error una cuenta legítima o presenta un informe incorrecto, atribuirlo al algoritmo no alcanza ante un regulador ni ante un tribunal.

El contexto: Daybreak como plataforma, no como producto

Vale entender qué es Daybreak, porque explica por qué Sophos pudo construirlo en pocos meses. OpenAI lo describe como una pila de defensa cibernética gobernada que combina modelos de vanguardia, el arnés Codex, Codex Security, flujos de trabajo confiables y socios del ecosistema. El programa tiene dos niveles: Daybreak Blue para trabajo defensivo común con los modelos principales, y Daybreak Red para organizaciones aprobadas que necesitan modelos especializados.

La escala ya es significativa. Según TechRepublic, OpenAI comprometió 1.000 millones de dólares en acceso subsidiado a Daybreak, capacitación, soporte técnico y alianzas, para consumirse en seis meses, con foco en gobiernos estatales y locales, operadores de infraestructura crítica, bancos comunitarios, organizaciones sin fines de lucro y mantenedores de código abierto. La misma publicación señala que la red de socios incluye integraciones con Cisco y Okta. Y según unite.ai, miles de defensores en 2.000 organizaciones aprobadas ya usan el programa.

La cronología de Sophos muestra un despliegue deliberado y por fases. El 22 de junio de 2026 la compañía anunció su incorporación al programa de socios cibernéticos de OpenAI, con adopción gradual y analistas de Sophos en el proceso en lugar de acceso directo de los clientes a los modelos. El 10 de agosto de 2026, Peterson escribió que ampliaban el trabajo al canal, llevando los modelos de frontera a los proveedores de servicios a través de Sophos Fusion. Sophos es socio de lanzamiento del programa para Servicios de Seguridad Gestionada, y opera con un canal de más de 25.000 socios, incluidos más de 7.000 proveedores de servicios gestionados, además de más de 40.000 clientes de MDR.

Conclusión

El caso de Sophos es la mejor evidencia pública hasta ahora de que los agentes de IA dejaron de ser una demo: resuelven la mitad de los casos de una operación de seguridad real, con supervisión humana en los puntos que importan. La lección para un founder no es "usa agentes", sino dónde ponerlos: en el trabajo repetitivo de investigación y contexto, con permisos acotados y un humano responsable de las decisiones irreversibles.

Peterson lo resumió con una recomendación poco glamorosa pero sólida: volver a los fundamentos de la seguridad, incluido el parcheado, la autenticación multifactor, la segmentación de red y operaciones de seguridad robustas. Advirtió que las vulnerabilidades se descubren a un ritmo alarmante y se explotan a una escala nunca vista. Los agentes aceleran la respuesta, pero no reemplazan lo básico.

Fuentes

• Sophos says Daybreak AI agents cut average case response to 89 seconds (fuente original)
• Los agentes de IA ya son empleados para la ciberseguridad
• Indramind presenta su nueva generación de Centro de Operaciones de Seguridad con investigación autónoma
• Agentes de IA en la empresa: la gran promesa de 2026 y el punto ciego que casi nadie está mirando
• OpenAI Offers Ukraine Daybreak Access for Civilian Cyber Defense
• OpenAI Commits $1B to Put Daybreak AI in Defenders' Hands