Libro de minicursos del XXVI Simposio Brasileño de Ciberseguridad, el SBSeg 2026, publicado por la Sociedad Brasileña de Computación. El capítulo está escrito en portugués, bajo el título "Inteligência Artificial aplicada à Resposta a Incidentes".
Los equipos de Respuesta a Incidentes conviven con un volumen de notificaciones que hace mucho superó la capacidad de triaje manual. Este capítulo examina cómo la Inteligencia Artificial, y en especial los Modelos de Lenguaje de Gran Escala, puede apoyar la respuesta a incidentes sin desplazar al analista humano.
Se combinan marcos consolidados (NIST SP 800-61 Rev. 3, NIST CSF 2.0 y FIRST CSIRT Services Framework), una revisión de la literatura reciente organizada por categoría de aplicación y tres estudios de caso realizados sobre una base de tickets reales de incidentes, previamente seudonimizados, cedidos por CSIRT asociados: seudonimización de tickets, clasificación automática de incidentes y generación asistida de playbooks. Cada estudio de caso combina la demostración de las herramientas del grupo proponente con un notebook simple, autocontenido y ejecutable, publicado en un repositorio abierto.
El mensaje central es que la IA no sustituye el proceso de respuesta a incidentes, sino que amplía la capacidad de triaje, análisis, documentación y recomendación cuando está integrada a marcos consolidados, datos confiables, anonimización adecuada y validación humana.
Incident response teams face a volume of notifications that has long outgrown what manual triage can absorb. This chapter examines how Artificial Intelligence, and Large Language Models in particular, can support incident response without displacing the human analyst.
We combine consolidated frameworks (NIST SP 800-61r3, NIST CSF 2.0, and the FIRST CSIRT Services Framework), a structured review of the recent literature organised by application category, and three hands-on case studies conducted over a base of real, previously pseudonymised incident tickets provided by partner CSIRTs: pseudonymisation of tickets, automated incident classification, and assisted playbook generation. Each case study pairs a demonstration of the proponents' tools with a small, self-contained and executable notebook, published in an open repository.
The chapter's central message is that AI does not replace the incident response process; it enlarges triage, analysis, documentation and recommendation capacity when it is integrated with consolidated frameworks, trustworthy data, adequate anonymisation and human validation.
| Sección | Título | Papel |
|---|---|---|
| 1.1 | Introducción | Sitúa la presión sobre los equipos y el diferencial del minicurso: datos reales anonimizados. |
| 1.2 | Conceptos Básicos y Marcos de Referencia | Nivela el vocabulario: ciclo de vida de la respuesta, CSIRT y SOC, taxonomías, fundamentos de IA y de privacidad. |
| 1.3 | Estado del Arte en IA para Respuesta a Incidentes | Revisión organizada por categoría de aplicación, con inclusión deliberada de trabajos que reportan límites. |
| 1.4 | Entornos, Herramientas y Bases de Datos | Caracteriza los recursos sobre los que operan los estudios de caso, de modo que el lector logre reproducir el material. |
| 1.5 | Estudio de Caso 1: Anonimización de tickets | La puerta de entrada del pipeline. Cobertura de protección y utilidad preservada. |
| 1.6 | Estudio de Caso 2: Clasificación de Incidentes | Estrategias de prompting, modelos comerciales frente a modelos locales y el escenario de pocos ejemplos. |
| 1.7 | Estudio de Caso 3: Generación de Playbooks | Del incidente clasificado a la acción, con énfasis en límites, riesgos y validación humana. |
| 1.8 | Desafíos, Tendencias y Conclusiones | Consolida desafíos de datos, de modelos y de gobernanza, y trata de la formación y la capacitación. |
Amplía la capacidad de triaje, análisis y recomendación. La evidencia empírica sostiene la formulación con precisión: los modelos que operan de forma autónoma fallan en proporciones incompatibles con el uso operativo, y los mismos modelos en uso colaborativo producen una ganancia consistente.
Combinar taxonomía estructurada con heurística iterativa de prompting mejoró la consistencia de la clasificación en todas las arquitecturas evaluadas. Y un único ejemplo etiquetado por categoría puede duplicar el F1 de un clasificador, resultado que el capítulo reproduce sobre su propia base: la exactitud global pasa del 68,4% al 89,7% con un ejemplo por categoría y ninguna llamada adicional de API por ronda. Ambas son intervenciones de bajo costo y alto retorno, disponibles para cualquier equipo.
La seudonimización no es un paso burocrático que antecede al trabajo real: es la condición que hace posible operar sobre datos reales. La decisión de diseño que la viabiliza sin destruir la utilidad es la seudonimización determinista con preservación del tipo de la entidad.
El diseño que distingue a las propuestas maduras es aquel en el que la corrección del analista realimenta el sistema. Es esa realimentación la que convierte la herramienta de un producto estático en un activo institucional que mejora con el uso.
Una vez tratado con el cuidado debido, el mismo material que alimenta la operación alimenta la formación. Cerrar ese ciclo, de la operación al aula y de vuelta, es probablemente la contribución más duradera que la comunidad brasileña de seguridad puede extraer de este trabajo.
Una selección entre las referencias del capítulo, privilegiando revisiones sistemáticas, estudios con evaluación empírica sobre datos reales y trabajos que reportan límites de la automatización, y no solo ganancias.
El capítulo se publicará en el libro de minicursos del SBSeg 2026, por la Sociedad Brasileña de Computación. La versión en PDF disponible en este sitio es la de los autores, anterior a la publicación oficial. Complete el campo de páginas y el identificador digital en cuanto la publicación esté disponible. La referencia de abajo permanece en portugués porque nombra el título publicado.
@incollection{miani2026ia,
author = {Miani, Rodrigo Sanches and Jesus Filho, Sebasti{\~a}o Alves de
and Kreutz, Diego and Kapelinski, Cristhian
and Pereira J{\'u}nior, Louren{\c{c}}o Alves
and Barbieri, Sidnei and Souza, Murray Evangelista de},
title = {Intelig{\^e}ncia Artificial aplicada {\`a} Resposta a Incidentes},
booktitle = {Minicursos do XXVI Simp{\'o}sio Brasileiro de
Ciberseguran{\c{c}}a (SBSeg)},
publisher = {Sociedade Brasileira de Computa{\c{c}}{\~a}o (SBC)},
year = {2026},
chapter = {1},
note = {Material complementar em https://sbseg26-mc1.github.io/}
}Los trabajos que sustentan este capítulo contaron con apoyo parcial de la CAPES, código de financiamiento 001; de la RNP, a través del Programa Hackers do Bem y del GT-LFI (Learn From Incidents); de la FAPERGS, a través de los términos de otorgamiento 24/2551-0001368-7 y 24/2551-0000726-1; del CNPq, procesos 409743/2025-9 y 408432/2024-1; y de la ANATEL, a través del Término de Ejecución Descentralizada con el ITA.
Los autores agradecen a los CSIRT y Puntos de Presencia asociados por la cesión de los datos que hicieron posibles los estudios de caso.