Un agente que resume una alerta y otro que cierra un caso ofrecen productos distintos. El segundo puede quitar trabajo de la cola, pero debe explicar qué evidencia permite qué acción. El caso Sophos Daybreak conecta velocidad con responsabilidad operativa, dejando preguntas importantes de fiabilidad abiertas.
Sophos informa de unos 89 segundos para investigar y responder casos de agentes, frente a unos 38 minutos previos, y 52% de casos MDR resueltos por IA de principio a fin. Son cifras empresariales, no prueba de que todos los incidentes cierren en 89 segundos. Los mismos números aparecieron en mayo de 2026; el relato OpenAI de octubre añade detalles, no una medición totalmente nueva.
Fija la unidad de trabajo
Pregunta cuándo empieza el reloj: alerta bruta, caso correlacionado, activación o validación del analista. Pregunta también cuándo acaba. Contener un equipo comprometido no implica remediación completa, restauración o eliminación de todas las vías. La comparación requiere inicios, paradas y categorías elegibles coherentes.
Los agentes entran tras filtrar y correlacionar telemetría, no razonan solos sobre cada evento bruto. El sistema reúne contexto, detecciones, indicadores e inteligencia y después planifica, ejecuta y revisa. Telemetría fiable y procedimientos maduros son parte del resultado. Un equipo interno no hereda esas condiciones comprando el mismo modelo.
Relaciona el permiso del cliente con la acción
Sophos describe tres modos. Notify investiga y recomienda, actúa el cliente. Collaborate decide conjuntamente. Authorise permite responder dentro de límites acordados. Se aplican a personas y agentes: un veredicto rápido no debe ampliar silenciosamente la autorización.
Exige una matriz de reversibilidad, impacto, acceso y escalada obligatoria. Los casos repetibles pueden operar supervisados sin aprobación de cada paso; patrones nuevos, decisiones importantes y contexto incompleto necesitan intervención directa. El 48% restante no es necesariamente fracaso: puede incluir casos difíciles para expertos.
Empareja cierres con correcciones
Ni el 96% de reducción temporal ni el 52% de cierres revelan falsos positivos, amenazas omitidas, reaperturas, anulaciones del cliente o correcciones. Pide esas medidas por categoría, no solo agregadas. Menos automatización puede reflejar umbrales más estrictos o trabajo más difícil, no peor producto.
Revisa muestras de cierres y prueba evidencia adversaria, telemetría incompleta y administración legítima parecida a un ataque. Los hallazgos del modelo necesitan apoyo validado antes de acciones relevantes. El revisor debe tener tiempo, pruebas y autoridad para detener la respuesta; poner un humano en algún lugar no evita aprobación rutinaria ni sesgo de automatización.
Prueba resultados limitados antes de ampliar poder
Elige casos frecuentes con evidencia clara, respuestas reversibles y escalada madura. Compara esfuerzo total, detección, interrupciones indeseadas, reapertura y recuperación con el proceso actual. Conserva pruebas, acciones de herramientas, responsable de decisiones y autorización para reconstruir cada caso después.
Revisa ubicación de procesamiento, retención, acceso de componentes y contratos de telemetría externa además del rendimiento. Amplía usos con evaluación, reversión y aprobación responsable correspondientes. El criterio no es el mayor porcentaje autónomo, sino cierre apropiado con riesgo definido, errores medibles y responsable claro cuando la respuesta automática falla.