Ciberseguretat amb IA: per què els CTO necessiten sistemes de defensa autoevolutius i predictius

Les estimacions més serioses situen el cost del cibercrim al voltant de l'1% del PIB mundial — danys anuals que es mesuren en bilions de dòlars. La xifra exacta depèn de qui compta; l'ordre de magnitud, no.

La part que importa si ets CTO: els qui llancen aquests atacs tenen millors eines que el teu equip de defensa. He passat anys a la banda d'operacions de sistemes enterprise — resposta a incidents inclosa — i l'asimetria mai havia estat tan crua. Els adversaris fan servir IA per automatitzar el reconeixement, generar phishing convincent a escala, adaptar el malware en temps real i sondejar les defenses amb una paciència i una precisió que cap atacant humà podria igualar. La teva detecció per signatures, el teu SIEM basat en regles, les regles de firewall afinades a mà — tot això es va dissenyar per a un altre threat model.

La resposta defensiva és la ciberseguretat amb IA, autoevolutiva. I com passa amb gairebé totes les categories d'IA el 2025, la distància entre el que és real i el que és teatre és enorme. Els CTO que ho sàpiguen destriar construiran postures de seguretat estructuralment resilients. Els que no, compraran eines cares que no aturen l'atac quan toca.

Vegem com distingir l'un de l'altre.

Què vol dir realment «autoevolutiu»

Els pitches dels venedors de seguretat amb IA van carregats d'argot. Self-evolving software, genetic programming, polymorphic applications, autonomous response, predictive defense. Abans d'avaluar res, convé tenir clar què volen dir aquests termes — i què no.

Autoevolutiu: un sistema capaç de modificar el seu propi comportament — regles de detecció, accions de resposta, fins i tot el seu propi codi — a partir de les dades que observa, sense intervenció humana. En seguretat, això sol voler dir que el sistema aprèn patrons d'atac nous i actualitza la postura defensiva en temps real.

Predictiu: el sistema infereix d'on vindran probablement els atacs, quines tècniques faran servir i per on és vulnerable l'organització — abans que l'atac es materialitzi. No és el mateix que un sistema reactiu, que només respon a incidents ja detectats.

Adaptatiu: el sistema canvia les defenses segons l'entorn d'amenaces del moment. Si els atacants canvien de tàctica, el sistema també.

Resposta autònoma: el sistema pot executar accions defensives — aïllar màquines, bloquejar trànsit, revocar credencials — sense que cap humà les hagi d'aprovar.

Aquestes capacitats existeixen el 2025 — però de manera desigual, i sobretot com a complement dels analistes humans, no com a substitut. Quan un venedor afirma que el seu sistema «substitueix completament el teu SOC», gairebé sempre és teatre. Quan afirma que «detecta amenaces que al teu stack actual se li escapen, redueix els falsos positius i accelera la resposta», sovint és veritat.

La distinció importa: en depenen el pressupost i el disseny de l'organització.

De la signatura al comportament, i del comportament a la predicció

L'evolució dels sistemes defensius de les dues últimes dècades segueix un arc clar:

Generació 1: basada en signatures. Patrons coneguts com a maliciosos, regles regex, signatures de virus. Eficaç contra amenaces conegudes, inútil contra les noves. La major part de la protecció d'endpoints i de les regles de SIEM tradicionals encara són aquí.

Generació 2: basada en comportament. Detecció d'anomalies sobre el comportament d'usuaris i sistemes. Eficaç contra amenaces noves que generen comportaments estranys, però sorollosa: taxes de falsos positius tan altes que ofeguen els analistes en alertes.

Generació 3: comportament augmentat amb IA. Machine learning sobre patrons de comportament. Distingeix millor les anomalies legítimes de les malicioses. Exigeix bones dades d'entrenament i un ajust constant.

Generació 4: predictiva i autoevolutiva. Sistemes d'IA que aprenen de cada interacció, prediuen les rutes d'atac més probables segons la configuració de l'organització i adapten les defenses de manera proactiva. Aquesta és la frontera el 2025.

La majoria d'organitzacions funcionen avui amb una barreja de Gen 1 i Gen 2, amb retalls de Gen 3 enganxats a sobre. La frontera és la Gen 4. La pregunta per a un CTO no és si hi ha d'arribar, sinó a quina velocitat.

Les capacitats que compten el 2025

Convé separar les capacitats que realment marquen la diferència de les que només són màrqueting:

Capacitat 1: predicció de rutes d'atac

Els entorns moderns són complexos: càrregues al cloud, integracions SaaS, APIs de tercers, gent treballant en remot, dispositius BYOD. Un atacant decidit no entra per la porta gran; encadena configuracions errònies aparentment innòcues fins a arribar als actius que valen diners.

Els sistemes de predicció de rutes d'atac modelen el teu entorn real, identifiquen les cadenes que un atacant podria explotar i posen al capdamunt les rutes de més risc perquè les remeïs primer. Això té valor de debò perquè canvia la seguretat de «arregla-ho tot» a «arregla el que és a les rutes d'atac que importen».

Avalua: l'eina modela el teu entorn amb precisió? Identificaria les rutes que explotaria un red team? Prioritza per probabilitat i impacte, i no només per recompte de vulnerabilitats?

Capacitat 2: aprenentatge de comportament en temps real

Els millors sistemes Gen 4 aprenen contínuament què és «normal» per a cada usuari, servei i flux de dades del teu entorn. Detecten les desviacions que importen — no qualsevol esdeveniment inusual, sinó els que es correlacionen amb un compromís real.

Avalua: quina taxa de falsos positius dona amb les teves dades? Amb quina rapidesa s'adapta a canvis legítims (incorporacions, aplicacions noves, patrons de trànsit nous)? Com gestiona l'arrencada en fred quan el desplegues per primer cop?

Capacitat 3: resposta adaptativa

Detectar és la meitat de la feina. L'altra meitat és respondre. Els sistemes Gen 4 poden executar respostes graduades segons el nivell de confiança:

• Confiança baixa: alertar un analista humà
• Confiança mitjana: resposta tova (limitar el ritme, exigir autenticació addicional)
• Confiança alta: resposta dura (aïllar, bloquejar, revocar)

La part adaptativa: el sistema aprèn quines respostes funcionen, quines generen fricció a usuaris legítims, i s'ajusta amb el temps.

Avalua: es pot acotar l'automatització de la resposta (per exemple, només a certes classes d'actius)? Com tracta els casos límit (VIPs, serveis crítics de producció)? Quin és el camí de tornada quan el sistema respon malament?

Capacitat 4: integració i inferència de threat intelligence

Els sistemes Gen 4 ingereixen threat intelligence externa, la creuen amb les observacions internes i n'infereixen el risc específic de la teva organització. Quan surt un CVE nou, et diuen: «el teu entorn concret hi està exposat per aquestes rutes; prioritza el pedaç en aquests sistemes».

Avalua: quines fonts de threat intelligence integra? Amb quina rapidesa la intel·ligència nova es converteix en accions? La inferència quadra amb el teu threat modeling intern?

Capacitat 5: resposta autònoma a incidents

L'esglaó més alt: sistemes capaços de gestionar certes categories d'incidents de cap a cap sense intervenció humana — detectar, investigar, contenir, remeiar, documentar.

Això funciona per a classes d'incidents ben conegudes (phishing, malware de consum, credential stuffing). No funciona per a incidents nous, sofisticats o crítics per al negoci, on cal judici humà.

Avalua: quin és l'abast de la resposta autònoma? Com es manté l'humà al circuit per a les decisions de criteri? Què passa quan la resposta autònoma s'equivoca?

La profunditat d'integració val més que la qualitat del model

Les capacitats Gen 4 valen sobretot quan s'integren amb el teu stack de seguretat existent, no quan el substitueixen. Els reptes d'integració:

Integració d'identitat. El sistema ha de saber qui accedeix a què. La integració estreta amb el teu IdP (Okta, Entra ID, Google) no és negociable.

Integració de logs i telemetria. El sistema necessita els teus logs — endpoint, xarxa, cloud, SaaS. Forats a la recollida de logs = forats a la detecció.

Integració de resposta. La resposta autònoma exigeix integració estreta amb els sistemes que controla — EDR, control d'accés a la xarxa, IAM del cloud, APIs d'administració del SaaS.

Integració amb les eines existents. La majoria d'entorns ja han invertit en SIEMs, SOARs i EDRs. Arrencar-ho tot no és realista. La capa Gen 4 s'ha d'integrar amb l'stack existent, no substituir-lo.

En avaluar venedors, la profunditat d'integració hauria de pesar molt. Un sistema de seguretat amb una IA brillant que no pot ingerir els teus logs no serveix de res.

La IA absorbeix el volum; el criteri el posen les persones

La seguretat amb IA no elimina la necessitat d'experts humans en seguretat — canvia allò en què es concentren.

Què fa la IA millor que les persones:

• Processar fluxos de dades d'alt volum i alta velocitat
• Trobar patrons entre milers de senyals alhora
• Aplicar playbooks de resposta coneguts amb consistència i rapidesa
• Aprendre de cada incident sense oblidar els anteriors

Què fan les persones millor que la IA:

• Judici estratègic: aquesta amenaça justifica el cost de la resposta?
• Situacions inèdites: atacs que no encaixen en cap patró
• Comunicació amb stakeholders: explicar incidents a directius, clients i reguladors
• Navegació política: resoldre problemes organitzatius que voregen la seguretat

El disseny organitzatiu que funciona: la IA absorbeix el volum, les persones hi posen el criteri. L'equip del SOC s'aprima en headcount però guanya en seniority. Les alertes de Tier-1 queden majoritàriament automatitzades. La investigació de Tier-2 va augmentada amb IA. La resposta de Tier-3 la lideren persones amb suport d'IA.

Per a les organitzacions que no tenen prou múscul intern per construir-ho, els serveis de managed detection and response (MDR) amb capacitats d'IA poden cobrir el forat. Amb un matís: els proveïdors d'MDR s'han d'avaluar amb els mateixos criteris Gen 4 d'abans, no només pel preu.

Els números només surten malament si no has modelat la bretxa

La conversa de pressupost és incòmoda. Les eines de seguretat amb IA són cares. Però patir una bretxa, també.

El marc que ajuda:

Cost del forat de detecció: quins atacs se li escapen al teu stack actual? Si un d'aquests atacs acaba en bretxa, quant costa — danys directes, multes reguladores, reputació, clients que marxen? Val la pena fer-ne una estimació probabilística.

Cost del retard en la resposta: el temps mitjà de detecció (MTTD) i el de resposta (MTTR) es tradueixen directament en danys. Cada hora que un atacant té accés costa diners. Les eines d'IA que retallen hores de MTTD/MTTR estalvien en proporció.

Cost del temps d'analista: la majoria d'equips SOC van desbordats. El cost de la rotació, el de contractar analistes sèniors, el de la fatiga d'alertes que acaba en incidents que ningú veu — tot això és real. Les eines d'IA que redueixen el volum d'alertes i fan que cada hora d'analista rendeixi més tenen un valor que es compon.

Cost de l'eina mateixa: no només la llicència: integració, ajust, formació, gestió contínua. Una eina que necessita tres enginyers dedicats per funcionar amaga un cost que deixa la llicència en no res.

Quan aquests quatre costos es modelen amb honestedat, les eines de defensa amb IA normalment es justifiquen soles. Les organitzacions que les descarten normalment no han fet els números: comparen el preu de tarifa amb la despesa actual, no el cost total de propietat incloent-hi el risc de bretxa.

Com avaluaria jo qualsevol d'aquestes eines

Si hagués de dirigir aquesta avaluació per a la teva organització, la seqüència seria aquesta:

1. Demostra-ho amb les teves dades, no amb la seva demo. Totes les demos de venedor llueixen. La qüestió és com rendeix l'eina amb els teus logs, els teus usuaris i la teva superfície d'atac reals. Exigeix una prova de concepte amb dades reals abans de comprometre't.

2. Mesura la taxa de falsos positius. La fatiga d'alertes és el risc operatiu més gran en seguretat. Una eina que genera 500 alertes al dia amb un 98% de falses és activament pitjor que l'statu quo.

3. Posa a prova l'automatització de la resposta. Si l'eina promet resposta autònoma, prova-la en escenaris controlats. Es pot acotar bé? Es pot anul·lar? Deixa registres d'auditoria nets?

4. Comprova la sortida d'emergència. Què passa si l'eina s'equivoca? Pots anul·lar-la de pressa? Hi ha marxa enrere neta? Les accions són reversibles?

5. Avalua el roadmap. La seguretat amb IA evoluciona de pressa. L'eina que compres avui ha d'anar sobre un roadmap que segueixi el ritme dels adversaris. Pregunta-ho als venedors sense embuts: què hi ha als pròxims dos trimestres, i per què és necessari?

La reestructuració importa més que les eines

La trajectòria és clara. La seguretat esdevé predominantment dirigida per IA, amb els experts humans concentrats en l'estratègia, les amenaces inèdites i la comunicació amb stakeholders. Les organitzacions que construeixin aquest model aviat tindran un risc de bretxa estructuralment més baix i un cost per incident dràsticament inferior.

Les que tractin la seguretat amb IA com «una eina més a l'stack», sense reestructurar les operacions de seguretat, l'assignació de pressupost ni la composició de l'equip, acabaran fent anar eines cada cop més sofisticades que no els canvien els resultats.

La feina del CTO és impulsar la reestructuració, no només comprar les eines.

La majoria d'equips no poden cobrir això amb plantilla pròpia

Una qüestió pragmàtica: la majoria de CTO no tenen prou fondària d'enginyeria de seguretat a casa per executar un programa defensiu Gen 4. Els enginyers de seguretat amb perfil AI-native són escassos i cars. El forat de competències és real.

Aquí és on aporten valor els partners especialitzats. Els squads nearshore dedicats, amb competències modernes d'enginyeria de seguretat, poden executar línies de treball concretes — implantar un stack defensiu Gen 4, construir lògica de detecció a mida, integrar eines amb IA per tot l'stack existent — sense haver de fer contractacions permanents en rols on el talent sènior escasseja.

El patró que funciona: CISO i estratègia de seguretat a casa, capacitat nearshore d'enginyeria de seguretat per a l'execució, i un servei MDR per a la cobertura 24/7 i l'escalat de la resposta a incidents.

---

Les eines milloren de pressa. El teatre, també. Els CTO que en sortiran guanyant són els que saben distingir l'un de l'altre — i els que es reestructuren al voltant del que és real en lloc d'enganxar-ho a l'stack i prou.

Si el coll d'ampolla a casa teva és la capacitat d'enginyeria i no la convicció, parla amb un CTO sobre com seria un squad dedicat d'enginyeria de seguretat per al teu stack.