¿Pueden los modelos pequeños de lenguaje entender tus alertas?

Adrian Ponce
27 jul
4 Min. de lectura

En seguridad, el tiempo no es oro: es superficie de ataque. Cada alerta no atendida, cada log sin contexto, cada patrón que pasa desapercibido es una posible brecha. Por eso, no sorprende que los modelos de lenguaje hayan capturado la atención del mundo de la ciberseguridad: prometen automatización, análisis inteligente y alivio para equipos que operan al límite.

Pero la verdadera pregunta no es si los modelos son útiles, sino cuáles realmente lo son para tu organización. ¿Hace falta usar un modelo de 70 mil millones de parámetros alojado en la nube? ¿O se puede hacer lo mismo —o incluso mejor— con modelos más pequeños, privados y entrenados con tus propios datos?

La respuesta es clara: sí, se puede.

Más allá del tamaño: lo que realmente aportan los LLMs

Los LLMs como GPT-4 han demostrado que pueden:

Interpretar secuencias de eventos o tráfico en lenguaje natural.
Traducir tácticas ATT&CK en explicaciones comprensibles.
Generar respuestas específicas a preguntas como “¿Qué ocurrió en este host entre las 03:00 y 03:10?”
Automatizar la generación de reportes y playbooks.

Esto los convierte en asistentes valiosos dentro del SOC. Pero aquí surge una limitación fundamental: tus datos de seguridad no deberían salir de tu red, y mucho menos hacia una API externa que no controlas.

Sí, existen técnicas para anonimizar datos sensibles —direcciones IP, nombres de usuario, rutas, comandos, etc.— antes de enviarlos a un modelo de lenguaje en la nube. Usar tokens neutros o aplicar hashing con salting puede ayudar a preservar la estructura de los eventos sin revelar identidades.

Pero hay matices importantes:

Pérdida de contexto: al anonimizar, puedes borrar señales útiles para detectar anomalías, como diferencias entre un dominio interno y uno externo.
Persistencia de patrones: incluso sin nombres, el orden o frecuencia puede seguir revelando lógica interna.
Cumplimiento normativo limitado: en muchos casos, anonimizar no basta si el modelo está fuera de tu control.
Riesgo de reidentificación: los modelos avanzados pueden inferir datos sensibles si las entradas no están bien protegidas.

Existen alternativas más robustas que resuelven este dilema sin comprometer privacidad ni funcionalidad:

Pseudonimización con lógica de sesión: mantener consistencia sin revelar identidades.
Arquitecturas RAG: que consultan a LLMs sin exponer datos directamente.
Modelos privados como DeepSeek o Mistral, fine-tuned con tus logs reales, sin anonimizar.
Prompting zero-trust: expresar el evento sin sus detalles exactos, manteniendo la intención.

En otras palabras, es posible usar LLMs externos con datos anonimizados, pero el valor que obtienes dependerá de cómo preservás el contexto. Para tareas como redacción, clasificación semántica o generación de playbooks puede funcionar. Para correlaciones en tiempo real o decisiones críticas, no.

El modelo que vive en tu red

Ahí es donde entran los Small Language Models (SLMs). Modelos más livianos como LogBERT, CySecBERT, DistilRoBERTa, DeepSeek o Mistral no solo ofrecen capacidades similares, sino que lo hacen sin comprometer la privacidad ni requerir infraestructura desmesurada.

Estos modelos permiten:

Detectar anomalías en logs históricos con precisión quirúrgica.
Clasificar alertas con alta efectividad, incluso con ajustes mínimos (fine-tuning).
Reconocer patrones, entidades maliciosas o comportamientos atípicos en el tráfico.

Un dato que vale más que mil benchmarks: DistilRoBERTa, con apenas 66 millones de parámetros, alcanzó una F1 de 0.998 en detección de anomalías. Superó a modelos mucho más grandes como GPT-Neo (2.7B) o RoBERTa-base. No es magia. Es foco.

Además, modelos como LLaMA 2 y 3, desarrollados por Meta, se han convertido en cimientos clave para múltiples variantes especializadas, incluyendo agentes de código, asistentes privados y copilotos de seguridad. Su arquitectura eficiente y su licencia abierta los posicionan como una opción sólida para quienes buscan capacidades avanzadas de lenguaje sin renunciar al control operativo.

DeepSeek: una pieza clave para una estrategia inteligente

DeepSeek es un modelo que, pese a no haber sido creado con fines de ciberseguridad, tiene características que lo hacen especialmente útil:

Es open-source y autoalojable, lo que habilita su uso en entornos de alta sensibilidad sin sacrificar control.
Tiene variantes especializadas, como DeepSeek-Coder, ideales para generar queries (KQL, SQL, etc.) o correlaciones complejas dentro de un SIEM.
Es eficiente en consumo, lo que permite su despliegue incluso en hardware limitado mediante modelos cuantizados.

Con entrenamiento sobre tus propios datos —los que realmente importan—, DeepSeek puede entender tu taxonomía de alertas, tu lógica de correlación, tus decisiones de negocio. No es una herramienta genérica. Es un bloque de construcción.

¿SLMs o LLMs? La decisión es estratégica

No se trata de una carrera de potencia, sino de adecuación. Lo óptimo no siempre es lo más grande, sino lo que se adapta a tus condiciones: datos, procesos, infraestructura, riesgos.

Hacia una inteligencia que decide

La evolución lógica no es que los modelos solo detecten. Es que actúen. Bloquear un flujo, aislar un endpoint, escalar un incidente o abrir un ticket ya no debería requerir intervención humana constante. Para eso existen los modelos agentivos: sistemas que combinan lenguaje, objetivos y contexto operativo para ejecutar tareas de forma autónoma.

¿Futuro lejano? No. Es lo que viene.

Hoy, es posible tener análisis inteligente, autónomo y privado en tu infraestructura. No hace falta depender de una API externa ni invertir en soluciones cerradas. Herramientas como DeepSeek y los SLMs open-source son piezas que ya están disponibles. Lo que falta es el ensamblaje estratégico.

Como en todo buen sistema, el diseño es más importante que la herramienta.

Fuentes:

Akhtar et al. (2024), Log analysis with LLMs: techniques and evaluations

BERT-Log: Log Anomaly Detection with Pre-trained Language Models

LogRoBERTa: Enhanced Log Analysis using Pretrained RoBERTa

NVIDIA cyBERT

Foundation-Sec LLM (Cisco)

Modelos: LLaMA, Mistral, Mixtral (Meta & Mistral.ai)