NGR Softlab añade a su SIEM Alertix una regla para detectar ataques con LLM

NGR Softlab ha añadido a su sistema SIEM Alertix una nueva regla de correlación que debería identificar actividad sospechosa relacionada con ciberataques basados en modelos de lenguaje. CNews informó de la novedad el 12 de octubre de 2026. El fragmento disponible del comunicado no incluye cifras: no indica cuántos escenarios cubre la regla, qué fuentes de eventos utiliza ni desde qué versión está disponible. Por eso, a continuación se analiza el contexto y no los detalles de la implementación.

Qué se sabe del lanzamiento

Alertix es el sistema SIEM del proveedor ruso NGR Softlab. En este tipo de productos, una regla de correlación hace algo sencillo: cruza eventos de distintas fuentes (dispositivos de red, proxies, registros de aplicaciones, cuentas de usuario) y genera un incidente cuando ese conjunto de eventos forma una cadena característica. Una consulta aislada a un servicio externo no significa nada. La misma consulta, tras un inicio de sesión atípico y una extracción masiva de datos, tiene otro aspecto.

Según la formulación del medio, la regla está pensada para detectar ataques en los que los atacantes utilizan modelos de lenguaje. La fuente no precisa qué técnicas concretas detecta: generación de phishing, automatización del reconocimiento, código malicioso escrito con ayuda de un LLM o ataques contra los propios modelos corporativos.

Por qué el SIEM tiene que aprender a ver los LLM

Los modelos de lenguaje cambian el perfil de amenazas por dos frentes. El primero son los atacantes. El modelo acelera la preparación de correos, scripts y escenarios de ingeniería social, reduce la barrera de entrada y multiplica el volumen de intentos. El segundo es la infraestructura que se protege. Las empresas implantan chatbots, asistentes y agentes con acceso a datos internos, y con ellos aparecen nuevos puntos de ataque: prompt injection, filtraciones a través de las consultas y uso indebido de claves de API.

Para un SIEM, esto implica nuevos tipos de telemetría y nuevos patrones. Las reglas clásicas se escribieron pensando en malware, fuerza bruta y lateral movement. El tráfico hacia servicios LLM y las llamadas a pasarelas internas de modelos no encajan en esas plantillas.

Datos que confirma el fragmento publicado:

• Proveedor: NGR Softlab
• Producto: sistema SIEM Alertix
• Tipo de cambio: nueva regla de correlación
• Finalidad: detección de actividad sospechosa vinculada a ataques que utilizan modelos de lenguaje
• Fecha de la noticia: 12 de octubre de 2026, fuente: CNews

No se ha revelado: el número de escenarios de detección, la lista de fuentes de eventos, las condiciones de licenciamiento, si existe correspondencia con MITRE ATT&CK ni la tasa de falsos positivos.

Qué deben comprobar los clientes

Una regla de correlación es útil solo en la medida en que lo sean los datos con los que trabaja. Si una organización no dispone de registros de proxy que categoricen los servicios LLM, de logs de una pasarela interna de IA o de auditoría de las llamadas a la API, no habrá nada que detectar, por avanzada que sea la lógica de la regla.

Antes de la implantación conviene pedir al proveedor tres cosas: la lista de fuentes de eventos obligatorias, la descripción de las condiciones de activación y las estadísticas de falsos positivos en proyectos piloto. También hay que decidir quién en el SOC se encarga del triaje de estos incidentes: un analista de primera línea sin experiencia en amenazas contra LLM no podrá distinguir un ataque del uso normal de un asistente por parte de un empleado. Por último, la regla cubre solo una parte del problema. El inventario de modelos corporativos y el control de los permisos de sus agentes siguen siendo un trabajo aparte.