Pedir a un modelo generalista de frontera (p. ej. GPT, Claude) que haga triaje de una alerta SIEM parece conveniente — hasta que inventa un IOC, malinterpreta un CVE o recomienda un playbook inexistente. En seguridad, respuestas erróneas pero plausibles son peores que ninguna respuesta.
Los modelos generalistas son amplios; la seguridad necesita profundidad
Los LLM generalistas dominan el lenguaje — no la semántica de logs, el contexto de incidentes ni la diferencia entre una regla ruidosa de firewall y una exfiltración activa. Fallos comunes en tareas SOC:
- Indicadores alucinados: IPs, hashes o referencias CVE fabricados que desperdician tiempo del analista.
- Ceguera a falsos positivos: Tratar cada alerta como igualmente creíble sin afinación de dominio.
- Falta de contexto de playbook: Consejos genéricos que ignoran cómo responde realmente su entorno.
- Sin bucle de feedback de producción: El modelo no aprende de sus incidentes reales.
Un envoltorio de prompt de seguridad no lo corrige. La profundidad requiere datos de entrenamiento, alineación y despliegue en un pipeline agéntico — no un chat acoplado a un SIEM.
Por qué gana la especialización (SFT + DPO + RL)
Dolutech SOC Model V1 parte de una base open-weight probada y la especializa con más de 22.000 ejemplos validados por curadores — bases CVE, informes de incidentes, playbooks SOC e inteligencia de IOC. El fine-tuning supervisado (SFT) enseña patrones de dominio; el Direct Preference Optimization (DPO) de alta calidad alinea salidas con cómo triagean los analistas; el aprendizaje por refuerzo (RL) continuo mejora el modelo con feedback de producción en SOC AI Agent.
En nuestro SOC AI Bench interno — evaluado con el mismo flujo agéntico que impulsa SOC AI Agent — el modelo especializado alcanza aproximadamente el 81% en tareas reales de análisis SOC. Es un benchmark interno alineado con metodología de producción, no trivia sintética; los resultados reflejan trabajo relevante en campo.
Para PYMEs y MSSPs, la conclusión es práctica: el motor de su SOC debe construirse para seguridad, no reutilizarse del chat generalista. Únase a la waitlist de SOC Model V1 para acceso anticipado a la API y vea especialización donde importa — en cada línea de log.
