Greenlight cierra el 90% de 4.000 casos mensuales de seguridad con agentes sobre AgentCore

Es un problema conocido para cualquier equipo de seguridad: hay muchas alertas, casi todas son rutinarias, pero cada una debe comprobarse manualmente. En Greenlight Financial, que ofrece tarjetas de débito para familias, el SOC recibe entre 3.000 y 4.000 señales al mes. Un solo caso relacionado con una tarjeta encontrada en la web oscura exige comprobar el estado de la tarjeta, las notificaciones duplicadas, las sesiones del cliente y los tickets abiertos. Esto requiere entre 15 y 30 minutos de trabajo humano y, con semejante volumen, el modelo simplemente no escala.

Cómo funciona Luna

El equipo construyó un sistema multiagente jerárquico sobre Amazon Bedrock AgentCore que reproduce la estructura de un SOC humano. Un supervisor de primer nivel recibe los casos a través de API Gateway, con un endpoint MCP, o desde Tines SOAR. Selecciona los agentes necesarios entre más de 30 especialistas en identidad y acceso, EDR, inventario de activos, pagos, soporte, inteligencia de amenazas y otras áreas. Después consolida sus hallazgos y emite un veredicto. La mediana de procesamiento de los casos rutinarios se mide en segundos.

Si el nivel de confianza no es suficiente, el caso pasa a un supervisor de segundo nivel. Este funciona con un modelo de razonamiento ampliado, se ejecuta de forma programada mediante EventBridge o de inmediato bajo demanda, y correlaciona entre 3 y 5 fuentes de datos. El resultado es un informe con una cadena de evidencias para que lo revise una persona. Alrededor del 10% de los casos sigue esta ruta.

La memoria como principal multiplicador

La parte más práctica de la historia es la capa de memoria. La memoria episódica conserva 30 días de decisiones. Un ejemplo del artículo: todos los martes a las 3 de la madrugada, un rol de infraestructura realiza la misma operación de acceso como parte del mantenimiento. Sin memoria, el agente la marca cada semana; con memoria, después del primer análisis añade el patrón a la lista de permitidos.

La memoria a largo plazo conserva plantillas de decisión y estadísticas como “las tarjetas procedentes de esta fuente generan un 73% de falsos positivos”. Un pipeline independiente sobre Lambda y DynamoDB registra los resultados de los casos y, cuando un caso se resuelve de la misma manera tres veces, guarda un patrón confirmado. Según Greenlight, esto fue precisamente lo que elevó la autonomía del 83% usando solo el nivel 1 a más del 90%.

Expansión hacia los riesgos financieros

Dos meses después del lanzamiento en el SOC, el equipo aplicó la misma arquitectura al triaje de riesgos. Añadió nuevos agentes para Galileo y la puntuación de fraude, además de un supervisor de riesgos, y reutilizó los agentes de Zendesk y Mixpanel. El flujo de trabajo para una tarjeta encontrada en la web oscura incluye la comprobación en el sistema de procesamiento, la deduplicación, el cotejo de sesiones y tickets, y la evaluación del riesgo. Los casos de bajo riesgo se registran, los de riesgo medio se envían a revisión y los de alto riesgo se escalan con evidencias.

Lecciones clave

Primero, hay que empezar por un ámbito reducido y una métrica de éxito clara: “resuelto correctamente o escalado”. Segundo, conviene reproducir la estructura organizativa de las personas, ya que así resulta más fácil que el equipo confíe en el sistema. Tercero, primero se realiza el triaje y después se actúa. Luna solo formula recomendaciones; la remediación la inicia una persona o una política aprobada, lo que ayudó a superar los controles de cumplimiento.

También hay limitaciones. Se trata de una publicación en el blog de AWS, las cifras proceden de la propia empresa y el ahorro se presenta como una estimación de entre 900 y 1.800 horas de trabajo de analistas al mes. No hay datos sobre la proporción de veredictos automáticos erróneos ni sobre el coste de la inferencia. Aun así, el patrón de niveles, la memoria con deduplicación y los agentes compartidos puede trasladarse a cualquier operación de soporte, sistema antifraude o flujo de gestión de incidentes de DevOps.