Aprendizaje automático en ciberseguridad: de la anomalía a la respuesta

Reeditado el 30 de julio de 2026, este artículo corrige una promesa peligrosa: el aprendizaje automático no identifica automáticamente ataques desconocidos ni mantiene una organización «un paso por delante». Aprende señales de telemetría y produce puntuaciones bajo un entorno concreto. Convertirlas en seguridad exige activos inventariados, hipótesis de amenaza, sensores, analistas y respuesta.

La diferencia se ve en una anomalía cotidiana: una copia de seguridad masiva, un administrador nuevo o una campaña comercial pueden parecer extraños sin ser maliciosos. A la inversa, un atacante que usa credenciales válidas puede parecer normal. El modelo ayuda a ordenar evidencia; no sustituye la pregunta de qué se protege, de quién y con qué coste de error.

Empezar por el activo y la conducta, no por el algoritmo

Una detección útil completa una frase: «alertar cuando esta identidad, dispositivo o proceso realiza esta secuencia porque podría corresponder a esta técnica y exige esta acción». El catálogo MITRE ATT&CK organiza tácticas y técnicas observadas y ofrece un vocabulario para relacionar telemetría con comportamiento. No es una lista de firmas ni prueba que una alerta sea ataque.

El inventario decide qué puede verse. Registros de autenticación, DNS, procesos, red, correo y nube contienen perspectivas distintas y zonas ciegas. Se documentan cobertura, reloj, pérdida de eventos, cambios de formato y permisos. Si el sensor no registra la conducta, ningún modelo la recupera. Si una alerta no enlaza con activo, usuario y secuencia, el analista pierde el contexto que necesita.

El Cybersecurity Framework 2.0 de NIST organiza resultados en gobernar, identificar, proteger, detectar, responder y recuperar. El aprendizaje automático cabe sobre todo como técnica dentro de algunos resultados; no reemplaza las seis funciones. «Prevención» puede significar bloquear una acción, endurecer un control o reducir impacto, y cada sentido requiere autoridad y prueba diferentes.

Antes de entrenar se fija el rol: priorizar alertas, detectar desviaciones, clasificar archivos o sugerir una investigación. Bloquear exige mucha más evidencia que ordenar una cola. Una falsa alarma puede interrumpir trabajo; un falso negativo puede dejar pasar una intrusión. El umbral se elige con esos costes y se revisa por activo, no para maximizar una cifra abstracta.

Supervisión y anomalías responden a preguntas distintas

El aprendizaje supervisado usa ejemplos etiquetados como clases. Puede reconocer familias conocidas si las etiquetas son fiables y el futuro se parece al pasado. Pero una alerta cerrada como «benigna» por falta de tiempo no es verdad negativa; una campaña puede descubrirse meses después; y entrenar con el nombre del producto o la fecha puede crear atajos.

La detección de anomalías modela una referencia y puntúa desviaciones. No necesita nombres de ataques para cada caso, pero sí una definición de unidad, ventana y normalidad. «Desconocido» no equivale a «zero-day»: el sistema puede señalar un cambio de turno o fallar ante un atacante que imita la línea base. La salida correcta es una prioridad con razones observables, no un veredicto.

Kitsune presentó un sistema de detección de intrusiones en línea basado en un conjunto de autoencoders y evaluó escenarios de red definidos. El paper permite seguir extracción de características, entrenamiento y prueba. No demuestra que cualquier red neuronal detecte cualquier amenaza; muestra un diseño y unos conjuntos cuya transferencia debe probarse en otra red.

Firmas y reglas no quedan obsoletas porque exista ML. Una firma puede bloquear con precisión un indicador confirmado; una regla expresa política; una anomalía descubre desviaciones; un clasificador escala triaje. La defensa combina capas y conserva una ruta simple. Si el modelo deja de responder, las protecciones deterministas y el registro deben seguir funcionando.

Los conjuntos de datos son mapas históricos, no Internet en miniatura

Los bancos de prueba facilitan comparación, pero envejecen y reflejan su laboratorio. CICIDS2017 documenta tráfico benigno y ataques generados durante días concretos en un entorno de pruebas. UNSW-NB15 combina tráfico normal y sintético producido en una infraestructura específica. Ninguno representa por sí solo la red, nube o usuarios de una organización actual.

La partición aleatoria puede filtrar sesiones, hosts o artefactos casi idénticos entre entrenamiento y prueba. Una evaluación más dura separa por tiempo, campaña, familia, dispositivo u organización. Se conserva un periodo futuro y se evita que campos creados después del incidente —como una etiqueta de investigación— entren como característica. Si la clase se deduce de la herramienta que generó los datos, el modelo aprende el laboratorio.

Para malware, EMBER publicó características y un conjunto etiquetado de archivos PE para investigación reproducible. La etiqueta y el periodo tienen límites, y un detector estático no observa lo que sucede en ejecución. El valor de una referencia abierta es poder repetir; el despliegue exige comparar con muestras locales autorizadas y recientes.

La métrica depende de la base. Con millones de eventos y pocos ataques, una exactitud alta puede ser inútil. Se informan precisión, cobertura, falsos positivos por unidad de tiempo, tiempo hasta detectar, carga de analista y cobertura de técnicas. Las curvas se traducen a volumen: cuántas alertas diarias y cuántos incidentes esperados se pierden a un umbral.

El adversario y el cambio rompen supuestos

En ciberseguridad, quien genera parte de los datos intenta evadir. El trabajo sobre ejemplos adversarios para detección de malware estudió cómo modificar características conservando funcionalidad para eludir clasificadores. La amenaza no se resuelve añadiendo ruido genérico: se define qué puede observar y cambiar el atacante y se prueban transformaciones válidas en el dominio.

El modelo también puede ser objetivo de extracción, envenenamiento o manipulación de la retroalimentación. Los datos de entrenamiento se versionan y su procedencia se controla; las etiquetas de analistas requieren revisión; los umbrales y características no se exponen innecesariamente. Un bucle automático que reentrena con todas sus propias alertas puede confirmar sus errores.

El entorno cambia sin adversario: nueva VPN, trabajo remoto, migración a nube, actualización del sistema o adquisición. Se vigilan volumen, distribuciones, tasa de alerta, confirmaciones y grupos afectados. Una desviación activa investigación, no reentrenamiento automático. Primero se decide si cambió el negocio, el sensor o la amenaza.

Los sistemas multiagente, evolutivos o por refuerzo pueden investigarse en simulación, pero darles autoridad para «adaptar defensas en tiempo real» añade riesgo. La recompensa puede favorecer bloqueo excesivo; el simulador puede omitir dependencias; varios agentes pueden interactuar de forma inesperada. Se empieza en modo recomendación, con acciones permitidas, límites y reversión.

De la puntuación al incidente

Cada alerta debe tener dueño, evidencia, prioridad y siguiente paso. El analista ve las características que cambiaron, eventos relacionados, alcance y fuentes; puede confirmar, descartar o escalar con motivo. Esa respuesta alimenta medición, pero no entra directamente al entrenamiento sin control. Se separa utilidad del modelo de calidad del proceso de investigación.

La SP 800-61 revisión 3 de NIST, publicada en abril de 2025, integra respuesta a incidentes en la gestión de riesgo del CSF 2.0. Una detección solo reduce daño si la organización ha preparado comunicación, análisis, contención, recuperación y aprendizaje. El modelo no llama al responsable ni restaura el servicio por sí solo.

El piloto opera primero en sombra. Se mide contra reglas y analistas, se revisan falsos positivos y negativos y se prueba el fallo del sensor. Después puede automatizar acciones reversibles y de bajo impacto, como enriquecer o limitar temporalmente una sesión. Aislar un sistema crítico, borrar archivos o bloquear una cuenta requiere política y confirmación acordes al riesgo.

La capacidad transferible es convertir cualquier promesa de «IA para ciberseguridad» en una cadena: activo, amenaza, telemetría, etiqueta o línea base, modelo, métrica, umbral, analista y respuesta. Si falta un eslabón, hay una demostración, no una defensa. Además, cada eslabón debe tener un dueño y una prueba periódica. La prueba debe representar condiciones operativas reales y cambios a lo largo del tiempo. El aprendizaje automático puede reducir carga y encontrar patrones; la seguridad nace del sistema humano y técnico que convierte una señal incierta en una acción verificable.