Sophos reduce un 96% el tiempo de investigación de ciberamenazas con OpenAI Daybreak

Sophos informa de que, con OpenAI Daybreak, ha reducido un 96% el tiempo de investigación de ciberamenazas y ha automatizado el 52% de los casos en su servicio MDR (managed detection and response). Si se toma la cifra al pie de la letra, una investigación ocupa ahora el 4% del tiempo anterior, es decir, unas 25 veces menos. La supervisión humana se mantiene: los analistas siguen formando parte del proceso de toma de decisiones. Los datos se publicaron en el blog de OpenAI el 9 de octubre de 2026.

Qué es exactamente lo que se aceleró

MDR es un servicio en el que un equipo de analistas del proveedor revisa las 24 horas las señales de alerta en la infraestructura de los clientes. La parte más costosa del trabajo es la investigación. Hay que recopilar telemetría de los endpoints y de la red, correlacionar los eventos en el tiempo, determinar si se trata de un ataque o de ruido y decidir qué hacer a continuación. Esta rutina lleva tiempo chocando con la falta de especialistas y el volumen de alertas. Según la descripción del caso, ahí es donde Daybreak aporta la ganancia.

La segunda cifra también es importante. Que el 52% de los casos esté automatizado significa que aproximadamente uno de cada dos casos en MDR sigue un flujo en el que el trabajo principal lo hace el sistema, no una persona.

Métricas clave

• Tiempo de investigación de una ciberamenaza: −96%.
• Proporción de casos de MDR automatizados: 52%.
• Modelo de trabajo: automatización con supervisión humana.
• Fuente: blog de OpenAI, caso de cliente de Sophos.

Lo que falta en la publicación

Se trata de un caso de cliente publicado en la plataforma del proveedor de la tecnología, y conviene leerlo en consecuencia. En la descripción disponible faltan varios elementos sin los cuales resulta difícil comparar las cifras con nada.

El primero es la base de referencia. No está claro si el 96% se calcula sobre el tiempo medio de investigación, sobre la mediana o sobre tipos concretos de casos. El segundo es la definición de «automatizado». Puede tratarse de un caso cerrado por completo sin intervención humana, o de un análisis ya preparado que el analista se limita a confirmar. El tercero es la calidad. En seguridad, la velocidad prueba poco si no hay datos sobre amenazas no detectadas y falsos positivos. Aquí el rendimiento se mide por el coste del error, no por segundos.

Tampoco se detalla la arquitectura: cómo está integrado Daybreak en los flujos de trabajo de Sophos y qué acciones puede ejecutar por sí solo. Esos detalles determinan hasta qué punto se puede replicar la experiencia.

Cómo leer este tipo de cifras

Juzgar solo por la cifra del 96% es prematuro. Para un proveedor de MDR importa más el 52%: es la cobertura la que determina cuántos casos asume el sistema y cómo cambia la carga de los analistas. Si la automatización alcanza a la mitad del flujo, el tiempo liberado se puede dedicar a los incidentes complejos, que requieren a una persona.

Para quienes eligen un servicio MDR o evalúan IA para su propio SOC, conviene plantear al proveedor algunas preguntas concretas:

• ¿Sobre qué valor se calcula la reducción de tiempo y en qué tipos de casos?
• ¿Qué pasos ejecuta el sistema por sí solo y cuáles requieren la confirmación de un analista?
• ¿Cómo se miden las amenazas no detectadas y los falsos positivos antes y después de la implantación?
• ¿Quién responde por la decisión si la conclusión automática resulta errónea?

Lo principal del caso de Sophos es que la IA se presenta como un acelerador del trabajo de los analistas, no como su sustituto. En un sector donde el error sale caro, esta formulación resulta más realista que los eslóganes sobre autonomía total. Habrá que verificarla con mediciones independientes, no con notas de prensa.