El mismo grafo
que decide
también responde
y verifica.

Los Tier-1 correlacionan EVENTOS (logs en una regla SPL/KQL). Nosotros correlacionamos INCIDENTES en Campañas con narrativa LLM citada y atribución a actor. Splunk te factura por GB ingestado: $200K-$2M/año. Sentinel cobra $4 por SCU + premium tiers. Nosotros: $15-30 por endpoint/mes, fijo. Y somos el único SOC con MCP nativo para tus agentes IA.

Cada incidente nuevo se fingerprintea en 7 ejes (WHO, WHERE, WHAT, HOW, CHAIN, TEMPORAL, CTI) y se compara con campañas activas dentro de una ventana de 6h. Match >= 0.6 se une; si no, crea Campaña nueva. A partir de 3 miembros dispara el LLM Narrator (gemini-2.5-flash) que redacta el caso citando cada incidente. Un critic determinista bloquea narrativas con citas insuficientes — cero alucinaciones llegan al analista.

Combinamos signature MITRE TTPs + IOC overlap (Jaccard >= 0.34) + threshold de confidence 0.6 + perfiles curados (4 actores built-in: APT29, Lazarus, FIN7, scanner_noise + integración OpenCTI opcional). SIEMPRE con disclaimer obligatorio: 'Atribución probable, no confirmada — requiere validacion humana.' Conservador por diseño: una falsa atribución APT es peor que ninguna.

No tienes que. CybeRisk OS funciona sobre tu SIEM existente como capa de IA — connector read-only en 2 horas. Si después quieres consolidar, te ayudamos a migrar en 90 días con plan estructurado. Cliente bancario LATAM 2026 Q1: bajó de Splunk Enterprise + 8 analistas Tier-1 a CybeRisk OS + 3 analistas senior de hunting, ROI positivo en 4 meses.

No. Despliegue single-tenant en tu GCP / AWS / Azure, o multi-tenant en nuestro cloud SOC2/ISO. Los embeddings de la IA viven en VPC privada — no enviamos contexto a OpenAI público sin tu consentimiento explícito. La narrativa LLM corre en gemini-2.5-flash con prompt sandboxed via Vertex AI en tu proyecto.

Tres niveles de protección: (1) cada afirmacion de la narrativa cita un incidente concreto [inc-XYZ] que el analista puede clickear, (2) un critic gate determinista (zero LLM cost) bloquea narrativas con citas insuficientes y las marca como 'pending review', (3) el analista puede hacer 'Split campaign' en un click si discrepa con el clustering — feedback que reentrena el correlador.

En vez de un playbook fijo del SOAR, el Response Strategist propone un MENU de estrategias de respuesta para cada incidente o campaña, priorizadas por eficacia, blast radius, disrupción al negocio, reversibilidad y costo — según la postura de tu organización (conservadora, balanceada, agresiva o intel). Es read-only: propone, no ejecuta a ciegas. La ejecución real es gobernada (human-in-the-loop) y la habilita tu equipo. Luego el lazo verifica sobre el grafo si la acción contrajo el riesgo.

La autonomía es GOBERNADA, no automatismo a ciegas. El sistema razona y PROPONE; las acciones quedan tras controles (flags por capacidad, human-in-the-loop, rollback). La ejecución real contra actuadores (EDR/Firewall/Identidad) se habilita por tu equipo de Operaciones cuando esten conectados. Lo simulado nunca se reporta como confirmado — el verdicto de cada acción es auditable. Para nosotros eso es una fortaleza de control, no una carencia.

Si — con NL a SQL. Escribes la pregunta en tu idioma; un LLM la traduce a un spec estructurado y un builder determinista genera SQL parametrizado con listas blancas, multi-salto sobre el grafo relacional. El LLM nunca emite SQL crudo, así que no hay riesgo de inyección. Funciona hoy sobre tu grafo, sin esperar un motor de grafos propietario.

Si, con un MCP (Model Context Protocol) server para conectar Claude, Gemini o Copilot sobre tu telemetría, con auditoría por agente y por usuario. Hoy está en preview (non-prod): se enciende por tenant y no es un automatismo en produccion todavia — lo comunicamos así por transparencia, no lo vendemos como certificado.

Si, MSSP-native. Aislamiento fail-closed verificado por una batería de tests de invariantes cross-tenant: todo store tenant-scoped exige tenant_id, toda query lleva WHERE tenant_id, y el acceso cross-tenant a un recurso devuelve 404 (no 403, para no filtrar existencia). RBAC por roles (super_admin, mssp_operator, tenant_admin, analyst, viewer), aprovisionamiento de tenants y audit trail inmutable por tenant.

NIST CSF 2.0, SOC 2 Type II, ISO 27001, PCI-DSS 4.0, DORA, NIS2, ENS, HIPAA, GDPR, CIS Benchmarks y MITRE ATT&CK. El sistema mapea controles a frameworks automáticamente y genera reportes de cumplimiento. Las decisiones autonomas quedan registradas con cita auditable — clave para DORA y GDPR Art. 22.