Kindo lanza Deep Hat Sift para reducir las ejecuciones innecesarias de agentes de IA

Un agente de IA que lee cada alerta de seguridad o entrada del registro genera costes, incluso cuando concluye que no hay que hacer nada. A escala empresarial, esas investigaciones que no arrojan novedades pueden convertirse en una carga de trabajo considerable por sí solas. Kindo ha lanzado Deep Hat Sift, un modelo diseñado para decidir qué eventos entrantes justifican ejecutar un agente antes de que el modelo más grande empiece a procesarlos.

Anunciado el 28 de octubre, Sift aprende de los veredictos del agente al que presta servicio y luego filtra los eventos que, de otro modo, el agente descartaría. El producto empieza observando, no reteniendo: todos los eventos siguen llegando al agente hasta que una persona revisa el comportamiento de filtrado propuesto y aprueba un umbral.

Este enfoque introduce un mecanismo de control de costes distinto de elegir un modelo de lenguaje más barato. En lugar de reducir el precio de cada investigación, Sift busca evitar las que probablemente no requieran ninguna acción. Su eficacia depende tanto de la calidad de esas decisiones como de los controles que determinan qué se omite.

Un modelo de decisión antes del modelo de lenguaje

Kindo describe Deep Hat Sift como un modelo de decisión de Sistema Uno: un modelo rápido y económico que responde a una pregunta de selección en lugar de generar una respuesta. Cada modelo se asigna a una fuente, un agente de destino y una tarea de filtrado específicos, de modo que su aprendizaje refleja la carga de trabajo a la que está destinado.

Esa especificidad es importante. Un evento pertinente para una investigación de seguridad puede ser irrelevante en un flujo de trabajo de asistencia técnica. Sift aprende qué eventos descarta el agente de destino y utiliza los veredictos que este devuelve como señal de entrenamiento. Kindo afirma que así se evita tener que crear un proyecto independiente de etiquetado manual para cada flujo.

La implementación inicial funciona en modo sombra. Sift asigna puntuaciones a los eventos entrantes mientras el agente sigue examinándolos todos, lo que permite al sistema comparar sus predicciones con las decisiones del agente. Antes de que empiece el filtrado, los operadores reciben una vista previa de lo que se habría retenido con sus propios datos.

Después, una persona debe aprobar un umbral y explicar por escrito el motivo. Así, la decisión sobre qué comportamiento de filtrado es aceptable queda en manos del equipo responsable del flujo de trabajo, en lugar de tratar la activación como una consecuencia automática de instalar el modelo.

El muestreo y los controles de apertura ante fallos permiten gestionar lo que se omite

El filtrado plantea un problema de medición difícil: si un evento nunca llega al agente, ¿cómo sabe el equipo si debería haber llegado? Sift sigue enviando una muestra aleatoria de los eventos que, de otro modo, retendría. Así, los veredictos del agente sobre esa muestra contribuyen a medir continuamente la tasa de omisión.

La página del producto deja claro cuál es el punto de referencia: la exhaustividad y la tasa de omisión se miden en función de los juicios del agente. Esas métricas indican hasta qué punto Sift reproduce las decisiones de ese agente. Por sí solas, no demuestran si el propio agente identifica correctamente todos los incidentes de seguridad o problemas operativos.

Kindo afirma que, si la calidad se deteriora, Sift falla de forma segura y vuelve a enviar los eventos para que el agente los revise, en lugar de seguir suprimiéndolos. La empresa también describe límites de actividad que pueden devolver el sistema al modo sombra durante un pico. Los eventos filtrados y las decisiones de aprobación quedan registrados para que los equipos puedan examinar qué se retuvo y por qué.

«No filtra nada hasta que una persona aprueba el umbral y, si la calidad se deteriora, falla de forma segura y envía todo para que lo evalúe un LLM», afirmó Troy Presley, ingeniero de Deep Hat Sift en Kindo, en el anuncio.

Estos mecanismos hacen visible la disyuntiva, pero no la eliminan. Un filtrado más conservador puede mantener la cobertura, aunque ahorre menos ejecuciones. Un filtrado más agresivo puede evitar más trabajo, pero hace que el muestreo, la detección del deterioro y la calidad del agente posterior cobren mayor importancia.

Diseñado para alertas, tickets y flujos continuos de registros

El lanzamiento está dirigido a cargas de trabajo con un gran volumen de entradas y una baja proporción de casos que requieren actuar. Kindo menciona alertas de SIEM y de detección en los dispositivos finales, colas de tickets, denuncias de correos de suplantación de identidad, registros de sistemas y redes, y flujos procedentes de plataformas como Kafka. Entre las fuentes de supervisión figuran Splunk, Datadog y New Relic.

Sift se sitúa antes del agente, en lugar de sustituir estos sistemas de origen. Una plataforma de seguridad sigue generando detecciones, un sistema de gestión de tickets sigue manteniendo su cola y el agente sigue siendo responsable de los casos que recibe. La nueva capa decide qué eventos ponen en marcha ese trabajo adicional de IA.

El mismo enfoque podría aplicarse a flujos de trabajo financieros y de cumplimiento normativo que revisan transacciones o políticas. En estos casos, seleccionar eventos para su revisión también es distinto de emitir una determinación sobre fraude o cumplimiento. El agente de destino y el proceso empresarial que lo rodea siguen siendo partes importantes del resultado.

Cómo encaja Sift en la plataforma de gestión de agentes de Kindo

La plataforma más amplia de Kindo conecta agentes con sistemas empresariales de seguridad, infraestructura y operaciones de TI. Combina la ejecución con el contexto, los permisos y la supervisión operativa, y ofrece a los equipos un lugar desde el que gestionar el trabajo una vez seleccionado un modelo.

El sitio web de la empresa describe la titularidad de los agentes, las políticas de acceso y la atribución de costos por agente, propietario y equipo. Sift añade un control en una etapa anterior de ese flujo de trabajo: decidir si un evento debe activar siquiera la ejecución de un agente. Así, conecta una decisión técnica de filtrado con la cuestión operativa de qué cargas de trabajo están generando costos de inferencia.

Según el anuncio de lanzamiento, Deep Hat Sift ya está disponible en las instalaciones del cliente, en una nube autogestionada, en la nube de Kindo y en entornos aislados. La puntuación se calcula donde está instalado Kindo, mientras que las llamadas a los modelos se gestionan a través de la plataforma. El producto funciona con los agentes de Kindo.

El ahorro dependerá del flujo de eventos

Kindo no ha proporcionado un porcentaje de ahorro general ni un parámetro de precisión universal para Sift. En su lugar, la página del producto invita a los equipos a previsualizar qué eventos se retendrían en sus propios flujos. Esta distinción es útil para los compradores: el resultado económico depende del volumen de eventos, el costo de cada ejecución que se evita, la proporción de eventos que requieren una acción y el umbral operativo que el equipo está dispuesto a aceptar.

En flujos ruidosos, evitar ejecuciones innecesarias de agentes podría hacer más asequible la revisión continua mediante IA. En flujos donde pasar por alto un evento tiene consecuencias graves, los controles de muestreo y escalamiento son tan importantes como el costo de inferencia. Deep Hat Sift incorpora esas decisiones al flujo de trabajo de los agentes y desplaza la pregunta central de qué modelo debe procesar un evento a si ese modelo necesita procesarlo siquiera.