CTIFoundry: IA con datos estructurados para amenazas cibernéticas

Una nueva infraestructura de datos permite a los agentes de inteligencia artificial investigar ciberamenazas con mayor precisión y menos llamadas a herramientas, marcando un hito para la seguridad digital en Latinoamérica y España.

Más del 70 % de los equipos de respuesta a incidentes de todo el mundo ya confían en asistentes impulsados por inteligencia artificial para filtrar y priorizar alertas, pero la mayoría de esos sistemas siguen alimentándose de bases de datos empaquetadas como bloques opacos. La falta de estructura impide que los agentes de IA aprovechen su capacidad de razonamiento multi‑paso, generando cuellos de botella que ralentizan la investigación de amenazas.

Una nueva arquitectura para la IA en ciberseguridad

CTIFoundry llega como respuesta a ese vacío. En lugar de ofrecer simples listas de vulnerabilidades, el proyecto construye un grafo ontológico determinista que enlaza cuatro fuentes de referencia reconocidas a nivel global: CVE (identificadores de vulnerabilidades), CWE (categorías de debilidades), CAPEC (patrones de ataque) y ATT&CK (tácticas y técnicas). Cada referencia oficial se transforma en una arista tipada y navegable, lo que permite que los agentes de IA recorran relaciones lógicas en tiempo real.

Sobre esa capa de conocimiento se superpone un nivel de informes “grounded”, donde cada fragmento de reporte se indexa con entidades normalizadas y alias resueltos, garantizando que la procedencia de la información sea trazable. Además, el sistema combina búsqueda densa (basada en vectores) con recuperación léxica tradicional, ofreciendo una superficie híbrida que equilibra velocidad y exhaustividad.

Cómo CTIFoundry supera los límites de los datos tradicionales

En la práctica, la arquitectura se expone a los agentes a través de siete herramientas tipificadas y tres habilidades procedimentales que se integran en un motor de agentes de código abierto. Cuando un analista formula una consulta, el agente puede, por ejemplo, trazar la cadena de vulnerabilidades desde una CVE hasta las tácticas ATT&CK asociadas o extraer evidencias de múltiples informes y cruzarlas con patrones de ataque conocidos sin necesidad de iterar cientos de llamadas a APIs externas.

Los resultados en el benchmark público CTIConnect son contundentes: al reemplazar únicamente la capa de acción, los agentes alcanzaron mejoras de entre 0,19 y 0,28 puntos en la métrica F1 (precisión‑recobrado). Un modelo pequeño, ejecutado sobre CTIFoundry, superó a un modelo insignia que operaba sobre el “sustrato plano” tradicional, y lo hizo con aproximadamente la mitad de invocaciones a herramientas, lo que se traduce en menor consumo de recursos y tiempos de respuesta más ágiles.

Un análisis de ablación reveló que la mayor parte del salto de rendimiento provino de la estructura tipada; las habilidades procedimentales, por su parte, transformaron esa estructura en una disciplina operativa, y la combinación de ambas generó un efecto sinérgico que superó la suma de sus partes.

Repercusiones en América Latina y España

El ecosistema de ciberseguridad en Latinoamérica ha experimentado un crecimiento acelerado, con gobiernos que destinan recursos cada vez mayores a la protección de infraestructuras críticas. Países como México, Brasil y Chile están adoptando marcos de referencia internacionales (por ejemplo, ATT&CK) y buscan herramientas que les permitan automatizar la correlación de incidentes. CTIFoundry, al ofrecer una base de datos interoperable y accesible mediante APIs abiertas, se posiciona como una solución atractiva para los centros de respuesta a incidentes (CSIRT) de la región, que a menudo operan con presupuestos limitados y necesitan maximizar la eficiencia de sus analistas.

En España, la Estrategia Nacional de Ciberseguridad ha enfatizado la necesidad de inteligencia de amenazas basada en datos estructurados. Grandes operadores de telecomunicaciones y bancos están probando arquitecturas similares, pero pocos han integrado de forma nativa los cuatro pilares ontológicos que CTIFoundry propone. La posibilidad de conectar vulnerabilidades CVE con los patrones CAPEC y las tácticas ATT&CK en un mismo entorno abre la puerta a una detección proactiva más granular, algo que podría reducir significativamente los tiempos de mitigación en sectores estratégicos como energía y finanzas.

Empresas de seguridad globales, como CrowdStrike y Palo Alto Networks, ya están trabajando en proyectos que buscan enriquecer sus feeds de amenazas con grafos semánticos, pero la mayoría de sus ofertas siguen siendo propietarias y requieren licencias costosas. CTIFoundry, al basarse en software libre y ofrecer una arquitectura modular, brinda una alternativa que puede ser adaptada por organizaciones públicas y privadas sin depender de contratos exclusivos.

En resumen, la iniciativa no solo representa un avance técnico, sino también una oportunidad para democratizar el acceso a una inteligencia de amenazas de calidad, favoreciendo a países que tradicionalmente han quedado rezagados en la carrera de la ciberdefensa.

💡 El panorama general: ¿Cómo nos afecta esto?

El impacto social se traduce en una mayor capacidad de los equipos de seguridad para identificar y neutralizar ataques antes de que comprometan datos personales o críticos. Con procesos más automáticos y precisos, los profesionales pueden dedicar más tiempo al análisis estratégico y menos a la recopilación manual de información, lo que eleva el nivel general de resiliencia digital.

Desde el punto de vista ético y económico, la apertura de una capa de datos estructurados reduce la dependencia de proveedores monopolísticos y favorece la competencia. Al mismo tiempo, la mayor eficiencia de los agentes de IA disminuye el coste operativo de los SOC (Security Operation Centers), permitiendo que pequeñas y medianas empresas accedan a niveles de defensa antes reservados a grandes corporaciones.

De cara al futuro, es probable que veamos una adopción creciente de marcos similares, impulsados por la necesidad de integrar inteligencia artificial con fuentes de conocimiento verificadas. Si la comunidad de ciberseguridad abraza estándares abiertos como los que propone CTIFoundry, la colaboración transfronteriza se volverá más fluida, y la capacidad colectiva para anticipar amenazas emergentes mejorará de forma exponencial.