Los agentes de Cogent con GPT-6.1 Sol reducen un 75% el tiempo de corrección de vulnerabilidades

Cualquiera que haya trabajado en seguridad lo sabe: encontrar una vulnerabilidad es solo la mitad del trabajo. Los escáneres generan cientos de hallazgos cada día y después empieza lo más tedioso: averiguar quién es responsable del servicio, qué depende de él, si se puede actualizar una biblioteca sin interrumpir el servicio y quién debe autorizarlo. Según Cogent, es justo ahí donde todo se atasca. La startup construye «fábricas de ciberdefensa» para grandes empresas: conjuntos de agentes de IA que cubren todo el recorrido, desde la investigación hasta una corrección verificada.

Primero el contexto, después los agentes

La base del sistema es Context Engine. Para cada cliente mantiene un grafo de conocimiento con activos, vulnerabilidades, cuentas, responsables y dependencias. Los agentes que trabajan en segundo plano contrastan continuamente los datos de las distintas herramientas de seguridad para que los agentes de investigación y corrección compartan una misma visión del entorno. El CTO, Geng Sng, lo llama un «arnés de memoria para la empresa»: no hace falta volver a averiguar cómo está organizada la infraestructura con cada nueva tarea. Como efecto adicional, se reducen la latencia, los costes de inferencia y las discrepancias entre respuestas.

Un ejemplo sencillo: se hacen públicas las vulnerabilidades críticas PHP2Shell en PHP. En lugar de buscar manualmente dónde utiliza PHP la empresa, los agentes recorren el grafo: localizan los sistemas afectados, evalúan su exposición a posibles atacantes y elaboran un plan que tiene en cuenta las dependencias de las aplicaciones y las restricciones operativas. Después aplican las correcciones siguiendo el proceso acordado con el cliente y comprueban que la brecha haya quedado realmente cerrada. Para la investigación y la planificación, Cogent utiliza GPT-6.1 Sol y GPT-6 Astra.

La autorización para actuar tiene su propia capa

Lo más interesante para los ingenieros es cómo resuelve Cogent la pregunta: «¿Y si el agente lo rompe todo?». Los cambios permitidos y los requisitos de aprobación se definen en Agent Policies. El motor TRACE comprueba cada llamada a una herramienta frente a esas reglas antes de ejecutarla, mediante verificaciones deterministas que no requieren una llamada adicional a un modelo. Por encima se sitúa Agent Gateway, que comprueba la autorización de forma independiente, mientras que las tareas de riesgo se ejecutan en entornos aislados. Cada cliente elige el modo de funcionamiento: solo investigación, cambios con aprobación humana o correcciones autónomas limitadas.

Conviene recordar el principio: la seguridad de un agente no debería depender de que el modelo haya interpretado correctamente una instrucción. Las reglas deben estar en el código, no en el prompt.

Economía: distintos modelos para distintas tareas

Cogent reparte el trabajo según su complejidad. GPT-6.1 Sol se encarga de la ejecución general y las investigaciones exigentes, mientras que GPT-5.6 asume las tareas rutinarias de gestión de vulnerabilidades que no necesitan un razonamiento profundo. Cuando se ponen en marcha «enjambres» de agentes, el coste de los tokens se convierte rápidamente en la principal partida de gasto, y este tipo de enrutamiento pasa de ser una optimización a una necesidad.

Cogent también afirma que la API de OpenAI le ha permitido escribir menos código auxiliar: la plataforma se ocupa de buena parte del enrutamiento de solicitudes y la orquestación de agentes. La mayoría de sus ingenieros programa en Codex porque ya dispone de las herramientas necesarias. Para sus propias investigaciones, el equipo utiliza los programas Trusted Access for Cyber y Daybreak, incluido el nivel Daybreak Red, con modelos especializados para análisis ofensivos autorizados. El objetivo es entender cómo pueden encadenarse vulnerabilidades a través de cuentas, recursos y restricciones de red.

Qué afirmaciones conviene tomar con cautela

Se trata de un caso de cliente publicado en el blog de OpenAI, no de una investigación independiente. Las cifras —una reducción del 75% en el tiempo medio de corrección de vulnerabilidades críticas en un fabricante de automóviles de Fortune 1000 y un aumento de 5 veces en la capacidad de triaje de un integrador de TI de Fortune 500— proceden de la propia Cogent, sin metodología ni indicadores de referencia. Los clientes no se identifican, salvo MarketAxess, que habla de priorización de riesgos, no de métricas.

Las afirmaciones sobre una menor cantidad de alucinaciones y mejores costes frente a otros proveedores tampoco incluyen pruebas comparativas. La corrección totalmente autónoma sigue en los planes: desde ajustes sencillos de configuración hasta procesos de varios pasos que afecten a distintos sistemas.

Qué llevar a la práctica

Si desarrollas agentes para infraestructura, DevOps o seguridad, este caso deja tres lecciones. Primera: invierte en la capa de contexto; un grafo de activos, responsables y dependencias aporta más a los agentes que cambiar de modelo. Segunda: implementa las políticas y la autorización mediante código determinista fuera del modelo y aísla las acciones de riesgo. Tercera: incorpora el enrutamiento entre modelos desde el principio o la factura de los agentes puede darte una sorpresa desagradable. Mientras no exista una verificación independiente, conviene considerar las cifras de eficiencia como marketing.