Investigación de KENSAI: MARS² y H-TechniqueRAG muestran el verdadero camino para mejorar la seguridad agéntica

La conclusión de la investigación de hoy es sencilla: si los sistemas de seguridad agéntica siguen fallando bajo presión, la solución no es otra capa envolvente. Es mejorar la búsqueda entre distintas ramas, la asignación de crédito a lo largo de extensas rutas de herramientas y la recuperación capaz de comprender las evidencias de ciberseguridad, en lugar de limitarse a la similitud genérica entre textos.

Qué ha cambiado en la investigación de hoy

Los artículos más sólidos de hoy no eran publicidad exagerada y genérica sobre la IA. MARS² importa porque aborda la búsqueda multiagente como un árbol que necesita una exploración explícita de sus ramas y una asignación de crédito a nivel de ruta. H-TechniqueRAG importa porque la recuperación de información de ciberseguridad falla cuando las evidencias se condensan en un único conjunto de fragmentos y se clasifican como texto ordinario.

Esta combinación señala una dirección de producto útil para KENSAI. La seguridad agéntica necesita dos mejoras simultáneas: una búsqueda más eficaz entre posibles rutas de acción y una recuperación más eficaz de evidencias de seguridad estructuradas. Sin ambas, los sistemas parecen ocupados, pero siguen siendo superficiales.

1) MARS² es una mejor respuesta para las largas trayectorias de herramientas

MARS² resulta convincente porque deja de fingir que un solo agente debería descubrir por sí mismo todas las rutas acertadas. Aborda la resolución de problemas como una búsqueda compartida en árbol, en la que varios agentes pueden explorar alternativas y la recompensa se asigna a lo largo de la ruta real que produjo un resultado útil.

Esto es importante en el trabajo de seguridad porque la mejor acción suele aparecer únicamente después de varias acciones mediocres. El reconocimiento, la validación y la explotación tienen estados ramificados. Si el sistema solo recompensa la respuesta final e ignora la ruta, aprende la lección equivocada. La asignación de crédito a nivel de ruta permite evitar que un agente que utiliza herramientas aprenda a tener suerte una vez, en lugar de mejorar de forma consistente.

2) H-TechniqueRAG resuelve un problema real de recuperación de información de ciberseguridad

H-TechniqueRAG es interesante porque las evidencias de ciberseguridad son jerárquicas por naturaleza. Las técnicas ATT&CK, los procedimientos, los artefactos de los hosts, las notas sobre campañas y las directrices de detección no se encuentran en un único nivel plano. Cuando los sistemas de recuperación ignoran esa estructura, devuelven texto vagamente relacionado en lugar de la cadena de evidencias que realmente necesita un analista.

Para KENSAI, la lección es clara: la calidad de la recuperación en seguridad depende de preservar las relaciones entre la técnica, el objetivo, las evidencias y la acción. Mejorar únicamente la fragmentación no basta. La capa de recuperación debe saber que una buena respuesta en ciberseguridad suele ser una cadena de elementos vinculados, no un único párrafo.

3) La implicación conjunta para el producto es más sólida que la de cada artículo por separado

En conjunto, estos artículos plantean un verdadero camino para mejorar los sistemas de seguridad agéntica. La búsqueda debería ramificarse de forma más fiel entre las posibles rutas de herramientas. La recompensa debería asignarse a lo largo de las trayectorias, no solo a los resultados finales. La recuperación debería obtener evidencias mediante una jerarquía adaptada a la ciberseguridad, en lugar de reducirlo todo a una mezcla semántica informe.

Esta es una hoja de ruta mejor que añadir otra capa de agentes o de paneles. KENSAI se vuelve más potente cuando puede explorar más de una ruta plausible, aprender qué rutas realmente dieron resultado y recuperar evidencias en un formato que respalde un verdadero criterio de seguridad.

Qué debería hacer KENSAI a continuación

El siguiente paso inmediato es práctico. Crear una evaluación que pruebe la recompensa a nivel de ruta y la exploración de ramas en una tarea real con herramientas, y otra evaluación de recuperación que mida la precisión de evidencias al estilo de ATT&CK en lugar de la fluidez genérica de las respuestas.

Si estos dos ciclos mejoran, el resto del sistema se vuelve rápidamente menos aparente. Una búsqueda mejor implica menos ejecuciones frágiles de agentes. Una recuperación mejor implica menos respuestas que suenan plausibles, pero son incorrectas. Este es el tipo de integración de la investigación que cambia el comportamiento del producto, no solo las diapositivas.