Integrar IA de forma nativa en la plataforma de ciberseguridad

Este estudio de caso abarca la segunda fase de nuestro trabajo con una plataforma de mitigación de riesgos cibernéticos con sede en EE. UU. (NDA) con la que hemos colaborado desde julio de 2020. La primera fase llevó el producto de prototipo a un SaaS de Fortune 500 (puedes leerlo aquí). Esta fase cubre lo que vino después: construir una IA integrada dentro del producto en producción.

El desafío

Para 2025, la plataforma era un producto analítico maduro con una sólida propuesta de valor y una base de clientes de Fortune 500. A medida que el producto maduró, surgieron tres problemas:

• Complejidad en la superficie. La plataforma manejaba datos ricos sobre riesgos cibernéticos, pero su interpretación requería conocimientos a nivel experto. Este patrón es común en categorías reguladas y con gran carga de datos: contabilidad, banca, finanzas, compliance.
   
• Baja frecuencia de uso. La mayoría de los usuarios abrían la herramienta una vez por trimestre para generar informes periódicos. El producto no formaba parte de su flujo de trabajo diario.
   
• Onboarding pesado. Los nuevos clientes necesitaban alrededor de 45 minutos de configuración guiada y la participación activa de soporte al cliente antes de poder usar el producto por su cuenta.

Cuando las interacciones con agentes, al estilo ChatGPT, se convirtieron en una expectativa del mercado, el cliente acudió a nosotros con una dirección clara: llevar ese modelo de interacción a su plataforma de mitigación de riesgos cibernéticos. La parte difícil era que el panel tenía que funcionar para tres tipos de usuarios muy distintos a la vez.
 

Un miembro del consejo necesita una captura de pantalla que se explique por sí sola, lista para insertarse en un informe trimestral. Un CFO necesita una narrativa detrás de los números. Un CISO necesita profundidad conversacional para investigar los datos y actuar en consecuencia. La misma interfaz debía servir a los tres. Construir esto significaba más que colocar un clon de ChatGPT sobre la plataforma. Significaba una sola interfaz, tres perfiles y un LLM integrado en la manera en que todos trabajaban.

Nuestro enfoque: Diseño de producto

La pregunta central del producto fue cómo introducir un LLM en una interfaz de dashboard clásica sin obligar a los usuarios a elegir entre dos modos de trabajo. No queríamos construir otro clon de ChatGPT ni un copiloto al lado de la plataforma, porque cualquiera de los dos enfoques dejaría a los usuarios con dos interfaces paralelas. Elegimos un híbrido. El usuario mantiene la familiaridad del clic y listo para lo que ya sabe hacer, y gana pregunta y listo para todo lo demás. El híbrido protege la curva de aprendizaje. Los usuarios se introducen en la colaboración con LLM de forma gradual, con barandillas de seguridad en cada paso, hasta que pueden desenvolverse por su cuenta.

En el corazón de la solución hay un modelo de cuatro capas: una escalera que permite a los usuarios profundizar en los datos a su propio ritmo, con Aria presente en cada nivel. Cada capa responde a una pregunta distinta. Cuanto más profunda la capa, más lenta y flexible la interacción. Cuanto más alta, más rápida y determinista. Reconstruimos el panel en torno a un único principio: simplicidad al principio, complejidad bajo demanda.

Capa 0 — Ejecutivo: ¿Qué está pasando?

La primera vista tras iniciar sesión, diseñada para miembros del consejo, el equipo directivo y cualquiera que necesite orientación en segundos. La parte superior del panel muestra los indicadores de estado de ciberseguridad más importantes. Esta es la vista clásica de dashboard, disponible de inmediato, sin IA involucrada. Los botones azules bajo cada métrica llevan a contenido prerenderizado: respuestas mostradas al instante a partir de datos existentes, sin llamada al modelo, sin esperas. Este es el nivel que prioriza la captura de pantalla, el que se explica solo.

Capa 1 — Financiero: ¿Por qué está pasando esto?

La capa de investigación, donde usuarios como CFOs y responsables financieros profundizan en la narrativa detrás del número. Cada métrica puede explorarse más a fondo mediante botones azules (descritos arriba) o botones morados que abren el chat de IA integrado con Aria. Píldoras de prompt contextuales se sitúan junto al campo de pregunta abierto. Las píldoras parecen botones morados pequeños, pero cada una lleva por debajo un prompt complejo, sugiriendo qué preguntar según lo que el usuario está mirando. Las píldoras moradas son el punto de entrada para profundizar.

Capa 2 — Ejecución: Hazlo por mí

La capa de acción, usada con más frecuencia por CISOs y operadores de seguridad que ya entienden el problema y necesitan que Aria actúe sobre él. Los botones dejan de ser pasivos ("Ver") y se convierten en comandos ("Crear", "Identificar", "Preparar"). El producto pasa de mostrar el riesgo a resolverlo.

Capa 3 — Consulta abierta: Lo que tengas en mente

Un campo de prompt libre, siempre disponible, que corre en paralelo a la escalera de cuatro capas. Los usuarios que saben exactamente lo que quieren no tienen que atravesar cada capa para llegar allí. Abren el campo de prompt y preguntan.
La escalera es deliberadamente no lineal. En la práctica, la Capa 1 se retroalimenta muchas veces (explorar → explorar más a fondo → explorar de nuevo → y solo entonces actuar), porque cada usuario tiene su propio ritmo de decisión y su propia profundidad de investigación antes de confiar en la cifra.

Lo que distintos usuarios obtienen de la misma interfaz 

Para un CISO, esta es una herramienta para profundizar en un número con la profundidad que necesita, al ritmo que elige. Para los miembros del consejo, es una captura de pantalla que se explica sola. Para un CFO, es una narrativa que se sostiene sin exponer las costuras de la metodología. Y en todo momento, los usuarios no tuvieron que aprender un producto nuevo para obtener capacidad de IA. La IA los encontró donde ya trabajaban.

Nuestro enfoque: Arquitectura

Reconstruimos el tiempo de ejecución en torno a tres decisiones arquitectónicas que importan para despliegues empresariales: cómo razona el agente, cómo se mantiene dentro de los límites del cliente y cómo se conecta a la pila de seguridad activa del cliente.
 

Orquestación y razonamiento

Aria se ejecuta sobre LangGraph, un framework de orquestación de agentes con estado que admite composición multiagente, memoria persistente de múltiples turnos y streaming en vivo de ejecución de herramientas. La capa de razonamiento usa los modelos Claude de Anthropic. La elección del modelo es configurable, no arquitectónica, por lo que la plataforma puede cambiar de proveedor sin reescrituras.
 

Aislamiento de tenants

Los agentes de Aria trabajan a través de docenas de herramientas especializadas: exposición al riesgo, frameworks, gobernanza, scoring, planificación, E/S de documentos y todo lo que el cliente exponga mediante sus propios conectores. Cada herramienta está conectada al usuario autenticado, la organización y el perfil en el momento en que se crea. El modelo no puede traspasar, cambiar ni ver esa identidad.
 

Esto es importante específicamente para sistemas agénticos. El acceso entre tenants en Aria no es un filtro aguas abajo que pudiera eludirse mediante prompt injection, intentos de jailbreak o instrucciones maliciosas incrustadas en documentos cargados. El agente simplemente no puede llamar a herramientas fuera de su límite de tenant. En chats a nivel de organización, los nombres de las unidades de negocio también se seudonimizan antes de que cualquier mensaje llegue al modelo y se desanonimizan en el flujo de respuesta, por lo que el modelo nunca ve identificadores reales del cliente.

Integraciones en vivo a través de MCP

Aria consulta la pila de seguridad activa del cliente, no solo los datos de la plataforma. CrowdStrike Falcon hoy, cualquier herramienta compatible con MCP mañana. El registro es por perfil, con OAuth 2.1 gestionando la autenticación. Esto desplaza a Aria de ser un producto de analítica independiente a convertirse en una capa de orquestación para toda la operación de seguridad del cliente.
También estamos ampliando Aria para exponer sus propias herramientas como un servidor MCP, de modo que Claude Desktop, Cursor o las herramientas internas del cliente puedan extraer datos de Aria desde donde el usuario ya trabaja. Aria lee de cualquier herramienta que conecte el cliente y expone sus propios datos a clientes MCP en el lado del cliente.

Agentes definidos por el administrador

El administrador del cliente crea nuevos especialistas directamente desde la interfaz de la aplicación (UI): nombre, prompt, herramientas. Nuevos agentes quedan en producción para toda la organización en minutos. Esto corre junto a los prompts que gestionamos como una vía rápida para necesidades del aquí y ahora, de modo que el cliente enseña a la plataforma nuevos roles en lugar de esperar a un release.

La solución

Aria es una IA integrada nativa de la plataforma. Vive dentro de la interfaz, la marca y el perímetro de autenticación del cliente, con la profundidad analítica de la plataforma original detrás y un front-end conversacional encima. Los usuarios no cambian a una herramienta aparte para usarla.

Para los usuarios, la experiencia cambió. El producto ahora responde a sus preguntas y actúa sobre ellas dentro del mismo panel. La herramienta de analítica que antes requería interpretación experta se convirtió en un producto de autoservicio donde los usuarios preguntan, exploran y actúan en un solo lugar. El riesgo ya no solo se muestra. Se aborda en el mismo flujo de trabajo.

Para el cliente, la evolución del producto dejó de estar condicionada por ciclos de lanzamiento. El equipo de administración puede poner en producción nuevos agentes, nuevos prompts y nuevos conectores a herramientas de seguridad en vivo en minutos, configurados directamente desde la UI de la aplicación. El cliente puede extender la plataforma por su cuenta a medida que surgen nuevas necesidades, sin esperar a un sprint o un despliegue.

Lo que cambió estructuralmente es que la plataforma ahora opera como una capa de orquestación para la pila de seguridad del cliente, no solo como un producto de analítica. La misma interfaz sirve informes para el consejo, narrativas para el CFO e investigaciones para el CISO. La misma arquitectura permite que el equipo de administración del cliente amplíe las capacidades de Aria y conecte nuevas herramientas de seguridad sin intervención de ingeniería.