Agentes LLM y SOC: unos desarrolladores construyen una base de datos de ciberamenazas basada en RAG

Unos desarrolladores han contado en Habr cómo construyeron su propia base de datos de ciberamenazas para agentes LLM y sistemas SOC. El servicio reúne documentos PDF, registros CVE y artículos de ciberseguridad en una sola base y entrega los fragmentos relevantes al agente de IA a través de una HTTP API.

Cómo funciona el pipeline de la base

Al principio, la tarea parecía lineal y cabía en una única cadena de pasos. Las fuentes (archivos PDF, descripciones de vulnerabilidades CVE y artículos de seguridad de la información) se cargan primero en el sistema y después se extrae su texto.

• Fuentes de datos: documentos PDF, registros CVE y artículos de ciberseguridad
• El texto se divide en fragmentos (chunking) para su posterior indexación
• A partir de los fragmentos se generan representaciones vectoriales (embeddings) para la búsqueda semántica
• La base terminada entrega el resultado al agente LLM a través de una HTTP API
• Los autores montaron rápido un prototipo funcional; el grueso del trabajo empezó después de ponerlo en marcha

Tras extraer el texto, el sistema divide los documentos en partes, genera sus representaciones vectoriales y lo convierte todo en un índice de búsqueda. De ahí obtiene el agente LLM o el analista del SOC el contexto sobre una amenaza concreta.

Por qué el prototipo es solo el comienzo

Según los autores, el prototipo funcional llegó rápido y el trabajo de verdad vino después. Es una situación habitual en las bases de conocimiento basadas en RAG (retrieval-augmented generation) para dominios muy especializados como la ciberseguridad. La cadena básica de carga, extracción de texto, chunking, vectorización y búsqueda se puede montar en poco tiempo. Convertirla en una fuente en la que confíen de verdad el agente LLM y el analista del SOC es un reto de otra escala.

Una dificultad propia de este dominio es la heterogeneidad de formatos. Los informes de amenazas en PDF, los registros CVE estructurados y los artículos convencionales tienen estructuras distintas. Cada uno exige un enfoque diferente para extraer el texto y dividirlo en fragmentos antes de poder reunirlo todo en un índice de búsqueda único.

Para qué lo necesitan el agente LLM y el SOC

La idea es que el agente LLM no dependa del conocimiento general de sus datos de entrenamiento, sino que reciba, a través de una HTTP API, fragmentos actuales y verificables de informes en PDF, registros CVE y artículos de seguridad. Para el analista de un SOC (Security Operations Center), esto significa que la respuesta del modelo sobre una amenaza concreta se apoya en una fuente real, y no solo en lo que el modelo «recuerda» del preentrenamiento. En la industria, este enfoque se conoce como retrieval-augmented generation, o RAG.

Por eso los autores no describen el proyecto como un desarrollo puntual, sino como un proceso continuo. La base de datos de ciberamenazas debe incorporar nuevos CVE y artículos de forma constante, así que el pipeline de carga, chunking y búsqueda necesita mantenimiento y mejoras incluso después de que la primera versión empezara a responder consultas.

El esquema de cinco pasos (carga, extracción de texto, chunking, generación de vectores y búsqueda) es típico de los sistemas RAG actuales y sigue una lógica lineal fácil de dibujar en una pizarra. Esa versión sencilla del pipeline fue precisamente la que los autores construyeron primero, antes de pasar a la fase más laboriosa de mejoras.

Qué significa esto

El caso ilustra el recorrido habitual al construir sistemas RAG para dominios profesionales específicos. Un pipeline funcional de carga, chunking y búsqueda vectorial se puede montar rápido, pero convertirlo en una herramienta en la que confíen los agentes LLM y los analistas de SOC es una tarea que solo empieza de verdad después del primer prototipo.