Swimlane añade detecciones personalizadas de amenazas basadas en IA y compatibilidad bidireccional con MCP en Turbine

Un analista de seguridad con IA puede investigar rápidamente una alerta, pero no puede investigar una advertencia que nunca se generó. Swimlane busca cerrar esa brecha con nuevas capacidades de detección definidas por los clientes en su plataforma Turbine, que permiten a los equipos de seguridad aplicar su propia lógica a los datos operativos y enviar las alertas resultantes directamente a Swimlane AI SOC.

La versión del 28 de octubre también incorpora compatibilidad bidireccional con Model Context Protocol (MCP) y un agente de Hero AI Application Builder. En conjunto, estas novedades amplían la plataforma de automatización de la empresa para abarcar tres tareas interconectadas: determinar qué actividad merece investigarse, conectar agentes con herramientas y crear las aplicaciones que respaldan los flujos de trabajo de seguridad.

Swimlane afirma que estas capacidades ya están disponibles de forma general. El anuncio las presenta como incorporaciones a la infraestructura de seguridad existente, que incluye herramientas de gestión de información y eventos de seguridad (SIEM), detección y respuesta en endpoints (EDR) y seguridad en la nube.

Dar a los equipos de seguridad el control sobre lo que genera una alerta

Muchos productos de centros de operaciones de seguridad con IA se centran en la clasificación, la investigación y la respuesta una vez que un sistema de detección ha identificado un comportamiento sospechoso. Esa división del trabajo se vuelve más difícil cuando las organizaciones implementan nuevos agentes, copilotos, modelos locales y servidores MCP a un ritmo que supera la capacidad de adaptación de los productos de detección establecidos.

Una empresa puede necesitar investigar el envío de información confidencial a un servicio de IA no autorizado, el uso inesperado de un modelo local, una barrera de protección desactivada o un agente que consume recursos muy por encima del presupuesto previsto. Algunas de esas situaciones dependen de las políticas y el entorno específicos de la organización, en lugar de responder a un patrón universal que un proveedor pueda definir de antemano.

Las nuevas capacidades de Turbine permiten a los equipos ejecutar su propia lógica de detección sobre los datos disponibles en la plataforma. Swimlane afirma que una sola acción de procesamiento de macrodatos puede evaluar decenas de miles de registros en nodos de computación paralelos y, a continuación, enviar una alerta a AI SOC para su investigación y una respuesta sujeta a controles de gobernanza.

Esta arquitectura acerca la lógica de detección a la automatización que actúa en función de sus resultados. En lugar de identificar una condición por separado y organizar manualmente los pasos siguientes, un equipo puede conectar una regla específica de su organización con un flujo de trabajo de investigación existente. La utilidad de cualquier detección sigue dependiendo de que la actividad pertinente esté representada en los datos a los que Turbine puede acceder.

«La industria de la seguridad lleva los últimos dos años debatiendo hasta qué punto puede la IA gestionar una alerta de forma autónoma, pero eso pasa por alto una pregunta más básica: ¿de dónde salió la alerta?», afirmó Cody Cornell, cofundador y director ejecutivo de Swimlane.

La versión también describe la creación de detecciones asistida por IA. Los equipos pueden explicar qué detección quieren y aprovechar las capacidades de Turbine para generar manuales de procedimientos que les ayuden a crearla. Generar esa lógica y comprobar que identifica de forma fiable el comportamiento previsto siguen siendo tareas distintas: las reglas específicas de cada organización deben reflejar los datos, los permisos y las condiciones del entorno en el que se ejecutan.

Investigar los sistemas de IA como posibles fuentes de incidentes

Swimlane describe estas situaciones como detección y respuesta de IA, o AIDR: el propio sistema de IA se convierte en el objeto del incidente. Esto es distinto de limitarse a utilizar un modelo de IA para resumir una alerta convencional de phishing o de un endpoint.

La inyección de instrucciones ilustra esta diferencia. Un agente puede encontrar instrucciones incrustadas en el contenido que procesa, lo que crea el riesgo de que material externo influya en su comportamiento. Una investigación útil puede requerir examinar las entradas del agente, su actividad con las herramientas y las acciones resultantes, en lugar de buscar únicamente un indicador de malware conocido.

Del mismo modo, un aumento inesperado del gasto podría indicar que un agente funciona mal o se ha desviado de su objetivo, sin parecerse a una intrusión tradicional. La lógica definida por los clientes permite a los equipos expresar qué se considera anómalo en su propia implementación, siempre que estén disponibles las señales de uso y operativas necesarias.

La escala de procesamiento anunciada es una especificación de la empresa, no un referente publicado que demuestre la detección de todas las formas de inyección de instrucciones o de uso no autorizado de la IA. El cambio práctico es que los equipos cuentan con otra vía para convertir sus propias observaciones en casos que requieran una acción, además de las alertas proporcionadas por los productos de seguridad establecidos.

MCP conecta agentes y automatización en ambas direcciones

MCP ofrece una interfaz común que permite a las aplicaciones de IA utilizar herramientas. La versión de octubre de Swimlane admite ambos sentidos de esa conexión.

Como host de MCP, Turbine permite que Hero AI se conecte a servidores MCP de terceros y utilice sus herramientas durante las investigaciones y la ejecución de manuales de procedimientos, con autenticación y controles de acceso centralizados. Así, un flujo de trabajo de seguridad puede recurrir a una capacidad externa compatible con MCP junto con las integraciones de API que ya utiliza.

Como servidor MCP, Turbine pone la automatización sujeta a controles de gobernanza a disposición de clientes externos de IA. El anuncio menciona Claude, ChatGPT, Cursor, Gemini CLI y Microsoft Copilot como ejemplos de clientes que pueden invocar componentes de Turbine, incluidos manuales de procedimientos de varios pasos, dentro de los controles de acceso basados en roles existentes.

La distinción tiene consecuencias importantes. En el primer caso, el agente de Swimlane se comunica con otro sistema. En el segundo, un asistente externo puede iniciar un flujo de trabajo aprobado de Turbine. Conectar un asistente a un manual de procedimientos ya establecido permite a una empresa reutilizar la automatización y los permisos existentes, en lugar de recrear el proceso operativo dentro de cada cliente de IA.

Swimlane afirma que Turbine puede combinar herramientas MCP con API convencionales. Esto hace que el lanzamiento sea relevante para los entornos en los que solo algunos sistemas admiten MCP: los equipos pueden incorporar el protocolo a un flujo de trabajo más amplio sin tener que modificar de una vez todas las integraciones existentes.

Creación de aplicaciones de seguridad con revisión humana

El agente de creación de aplicaciones Hero AI aborda otra fuente de trabajo: configurar las estructuras de registros, los diseños y los flujos de trabajo que requiere un nuevo caso de uso de seguridad. Los usuarios describen en lenguaje natural lo que necesitan y el agente crea o modifica la aplicación correspondiente.

Según el comunicado, los cambios generados no se guardan hasta que una persona los revisa. Los cambios se resaltan y los usuarios pueden aceptarlos o rechazarlos antes de que se apliquen de forma permanente. Ese punto de aprobación es importante porque la estructura de una aplicación puede influir en cómo los analistas recopilan pruebas, pasan los casos de una etapa a otra y llevan a cabo una respuesta.

El nuevo agente se basa en la cartera más amplia de Hero AI. Los materiales de producto de Swimlane describen agentes existentes para la ingesta de datos, la generación de manuales de procedimientos, las visualizaciones y la investigación, así como la posibilidad de seleccionar modelos para cada agente. La creación de aplicaciones amplía esa asistencia al espacio de trabajo operativo en el que se realizan esas tareas.

Combinar el razonamiento de la IA con una automatización predecible

Estas incorporaciones se integran en el modelo de enrutamiento de Swimlane AI SOC, que distribuye el trabajo entre la automatización determinista, la investigación asistida por IA y la investigación plenamente basada en agentes, según el razonamiento que se requiera. Los manuales de procedimientos existentes pueden encargarse de los pasos habituales, mientras que los casos más complejos pueden recurrir a la investigación basada en agentes y a la revisión humana.

Este es un aspecto importante del diseño del producto: un flujo de trabajo no tiene que enviar todas las tareas a un modelo. Una secuencia de respuesta conocida puede seguir siendo una automatización convencional, mientras que un agente ayuda a interpretar pruebas desconocidas o a elaborar un plan de investigación.

La detección definida por el cliente añade una decisión previa a ese modelo operativo: ¿qué debería activar el proceso en primer lugar? Para los equipos de seguridad que adoptan la IA en toda su organización, el lanzamiento de octubre ofrece una forma de vincular su propio conocimiento de lo que se considera un comportamiento aceptable con las herramientas que investigan y responden cuando la actividad se sale de esos límites.