Las alertas por IA en el SOC crecen un 685%: el 94,1% es ruido y solo el 0,02% es ataque

De los 16,9 millones de alertas de SOC revisadas en varios entornos empresariales, unas 73.000 —el 0,43%— tenían que ver con herramientas o agentes de IA. El porcentaje parece inofensivo hasta que se mira la curva: entre febrero y junio de 2026 ese volumen creció un 685%, y cada mes supera al anterior. Lo importante no es cuántas son, sino qué son. El 94,1% es ruido, el 5,8% un riesgo real y solo el 0,02% un ataque de verdad.

El coste de la IA en un SOC no está siendo el incidente, sino la marea de alertas que parecen graves y casi nunca lo son, con un puñado de exposiciones auténticas enterradas debajo. Las cifras son del propio análisis, no de un tercero, y el texto admite que los indicadores van despojados de identificadores de cliente.

Dos formas de adoptar IA, un mismo embudo

La adopción dentro de una empresa llega por dos vías distintas a la vez. La primera es técnica: los desarrolladores instalan agentes de código que abren shells, leen almacenes de credenciales, levantan túneles de red, descargan paquetes y ejecutan herramientas de seguridad. Todo es trabajo legítimo y para un motor de detección es indistinguible de las primeras fases de una intrusión. Es la mitad ruidosa y domina los datos.

La segunda es más silenciosa: empleados que conceden consentimiento OAuth a aplicaciones de IA de terceros, comparten información y pegan documentos en herramientas generativas. Rara vez dispara una detección en el endpoint, pero es por donde se va la información. Las dos mitades acaban en el mismo sitio y las dos parecen, a primera vista, algo que habría que investigar.

El triage automático las apaga

Sin humano de por medio, el 79,8% de esas alertas recibe un veredicto benigno y el 81,7% se suprime de forma automática, de modo que ningún analista llega a verlas. Solo el 5,4% del total se escaló a una persona. Y una etiqueta de severidad alta no equivale a amenaza: una única detección en un único cliente concentró el 55% de todas las alertas con veredicto crítico, por marcar el binario Expand.exe de Windows como transferencia de herramienta lateral. Al inspeccionarlo, era un agente de código montando su entorno de shell, un comportamiento normal en ese tipo de trabajo.

En la categoría de ataques reales no apareció ni una sola brecha causada por el agente de IA de la propia organización. Cada alerta del tipo «agente de IA ejecutando mimikatz» o «shell inversa desde una herramienta de código» se resolvió como trabajo legítimo o como detección mal calibrada. Lo que sí era real es un ataque que cabalga sobre la IA en lugar de usarla: una campaña de phishing activa que emplea nombres de marcas de IA como cebo y que fue ganando clientes afectados conforme se ampliaba la ventana de estudio.

Lo que queda por ver

La conclusión operativa es incómoda para quien dimensiona equipos. Ese 0,43% es el suelo de hoy, no un techo: una plantilla calculada con el volumen actual se queda corta en un trimestre. Y las etiquetas de severidad sobre actividad de IA hay que leerlas con desconfianza antes de mover a nadie. La parte de túneles de agentes que imitan tráfico C2 es justo la que más se confunde con ruido legítimo, y ahí es donde se pierden las exposiciones que sí importan.