El mismo grafo
que decide
también responde
y verifica.

Los Tier-1 correlacionan EVENTOS (logs en una regla SPL/KQL). Nosotros correlacionamos INCIDENTES en Campanas con narrativa LLM citada y atribucion a actor. Splunk te factura por GB ingestado: $200K-$2M/ano. Sentinel cobra $4 por SCU + premium tiers. Nosotros: $15-30 por endpoint/mes, fijo. Y somos el unico SOC con MCP nativo para tus agentes IA.

Cada incidente nuevo se fingerprintea en 7 ejes (WHO, WHERE, WHAT, HOW, CHAIN, TEMPORAL, CTI) y se compara con campanas activas dentro de una ventana de 6h. Match >= 0.6 se une; sino crea Campana nueva. A partir de 3 miembros dispara el LLM Narrator (gemini-2.5-flash) que redacta el caso citando cada incidente. Un critic determinista bloquea narrativas con citas insuficientes — cero alucinaciones llegan al analista.

Combinamos signature MITRE TTPs + IOC overlap (Jaccard >= 0.34) + threshold de confidence 0.6 + perfiles curados (4 actores built-in: APT29, Lazarus, FIN7, scanner_noise + integracion OpenCTI opcional). SIEMPRE con disclaimer obligatorio: 'Atribucion probable, no confirmada — requiere validacion humana.' Conservador por diseno: una falsa atribucion APT es peor que ninguna.

No tienes que. CybeRisk OS funciona sobre tu SIEM existente como capa de IA — connector read-only en 2 horas. Si despues quieres consolidar, te ayudamos a migrar en 90 dias con plan estructurado. Cliente bancario LATAM 2026 Q1: bajo de Splunk Enterprise + 8 analistas Tier-1 a CybeRisk OS + 3 analistas senior de hunting, ROI positivo en 4 meses.

No. Despliegue single-tenant en tu GCP / AWS / Azure, o multi-tenant en nuestro cloud SOC2/ISO. Los embeddings de la IA viven en VPC privada — no enviamos contexto a OpenAI publico sin tu consentimiento explicito. La narrativa LLM corre en gemini-2.5-flash con prompt sandboxed via Vertex AI en tu proyecto.

Tres niveles de proteccion: (1) cada afirmacion de la narrativa cita un incidente concreto [inc-XYZ] que el analista puede clickear, (2) un critic gate determinista (zero LLM cost) bloquea narrativas con citas insuficientes y las marca como 'pending review', (3) el analista puede hacer 'Split campaign' en un click si discrepa con el clustering — feedback que reentrena el correlador.

En vez de un playbook fijo del SOAR, el Response Strategist propone un MENU de estrategias de respuesta para cada incidente o campana, rankeadas por eficacia, blast radius, disrupcion al negocio, reversibilidad y costo — segun la postura de tu organizacion (conservadora, balanceada, agresiva o intel). Es read-only: propone, no ejecuta a ciegas. La ejecucion real es gobernada (human-in-the-loop) y la habilita tu equipo. Luego el lazo verifica sobre el grafo si la accion contrajo el riesgo.

La autonomia es GOBERNADA, no automatismo a ciegas. El sistema razona y PROPONE; las acciones quedan tras controles (flags por capacidad, human-in-the-loop, rollback). La ejecucion real contra actuadores (EDR/Firewall/Identidad) se habilita por tu equipo de Operaciones cuando esten conectados. Lo simulado nunca se reporta como confirmado — el verdicto de cada accion es auditable. Para nosotros eso es una fortaleza de control, no una carencia.

Si — con NL a SQL. Escribes la pregunta en tu idioma; un LLM la traduce a un spec estructurado y un builder determinista genera SQL parametrizado con listas blancas, multi-salto sobre el grafo relacional. El LLM nunca emite SQL crudo, asi que no hay riesgo de inyeccion. Funciona hoy sobre tu grafo, sin esperar un motor de grafos propietario.

Si, con un MCP (Model Context Protocol) server para conectar Claude, Gemini o Copilot sobre tu telemetria, con auditoria por agente y por usuario. Hoy esta en preview (non-prod): se enciende por tenant y no es un automatismo en produccion todavia — lo comunicamos asi por transparencia, no lo vendemos como certificado.

Si, MSSP-native. Aislamiento fail-closed verificado por una bateria de tests de invariantes cross-tenant: todo store tenant-scoped exige tenant_id, toda query lleva WHERE tenant_id, y el acceso cross-tenant a un recurso devuelve 404 (no 403, para no filtrar existencia). RBAC por roles (super_admin, mssp_operator, tenant_admin, analyst, viewer), aprovisionamiento de tenants y audit trail inmutable por tenant.

NIST CSF 2.0, SOC 2 Type II, ISO 27001, PCI-DSS 4.0, DORA, NIS2, ENS, HIPAA, GDPR, CIS Benchmarks y MITRE ATT&CK. El sistema mapea controles a frameworks automaticamente y genera reportes de cumplimiento. Las decisiones autonomas quedan registradas con cita auditable — clave para DORA y GDPR Art. 22.