Proofpoint lanza en preview privado el agente SOC Analyst, potenciado por los modelos Daybreak de OpenAI

Proofpoint ha presentado el SOC Analyst Agent, un asistente de inteligencia artificial agéntica pensado para transformar cómo los equipos de seguridad pasan de una alerta bruta a una decisión defendible. El producto nace de un problema interno: el propio equipo de Applied Services de Proofpoint, encargado de investigar y responder incidentes para los clientes de la compañía, necesitaba una forma más rápida de moverse entre alertas dispersas en múltiples consolas sin tener que escribir una consulta distinta para cada producto. Ese mismo equipo construyó la herramienta para resolver su propio cuello de botella, y ahora Proofpoint la ofrece directamente a sus clientes.

El argumento de fondo que da la compañía es que los equipos de seguridad no tienen un problema de datos, sino de priorización: las alertas llegan más rápido de lo que cualquier equipo humano puede revisarlas, y están repartidas en un número creciente de productos, cada uno con su propia consola y su propia versión de la verdad. Proofpoint respalda esta idea citando su propio informe '2026 AI and Human Risk Landscape Report', según el cual casi nueve de cada diez organizaciones a nivel global ya han llevado los asistentes de IA más allá de la fase piloto, lo que añade nuevas superficies que los equipos de seguridad deben vigilar justo cuando la capacidad de los analistas no ha crecido al mismo ritmo.

En cuanto al funcionamiento, el planteamiento es de lenguaje natural: un analista formula una pregunta o describe una tarea sin necesidad de lenguajes de consulta ni de saltar entre consolas. El agente planifica la investigación, extrae contexto de las fuentes de datos de seguridad conectadas dentro de la plataforma de Proofpoint —alertas, registros, eventos de prevención de fuga de datos (DLP) y señales de riesgo de usuario— y devuelve un hallazgo estructurado junto con una recomendación de próximo paso. Además, cualquier miembro del equipo puede crear flujos de trabajo personalizados que se ejecuten de forma programada, por ejemplo para seguridad de datos o para el análisis de buzones de abuso, con enrutamiento y notificación automática a los analistas correspondientes.

El elemento diferencial que destaca el anuncio es la incorporación de los modelos Daybreak de OpenAI a través de lo que la compañía llama la 'Daybreak Defense Network', combinando la experiencia y los datos de operaciones de seguridad de Proofpoint con capacidades de razonamiento cibernético de OpenAI orientadas a trabajo defensivo autorizado. Proofpoint justifica el uso de un modelo especializado en lugar de uno de propósito general argumentando que la parte difícil de una investigación no es leer los datos, sino inferir qué intentaba lograr un actor y qué haría a continuación: cómo se construye un señuelo para que funcione con la víctima, cómo se mueven datos fuera de un entorno sin activar una política, o cómo una serie de acciones aparentemente inofensivas termina revelando una intención maliciosa. Según la compañía, los modelos de propósito general tienden a evitar precisamente ese tipo de razonamiento sobre técnicas ofensivas, mientras que los modelos Daybreak están diseñados para dar soporte a este tipo de análisis defensivo autorizado, ayudando a pasar de 'estas alertas se han disparado' a 'esto es lo que la actividad significa y esto es lo que hay que revisar después'.

Esa misma capacidad de razonar sobre cómo opera un atacante es, según Proofpoint, la razón por la que los límites de actuación del agente importan tanto: se le da margen para razonar sobre cómo funciona un ataque, pero ningún margen para actuar. La compañía insiste en que se trata de un sistema de recomendación, no de sustitución del analista humano. Cada hallazgo llega acompañado de un próximo paso sugerido, pero el agente no lo ejecuta por sí mismo: cualquier acción que vaya más allá de generar un hallazgo o un informe —cambios en cuentas, contención u otra medida de remediación— queda en manos de un revisor humano, en línea con cómo ya opera hoy el equipo de Applied Services. El objetivo declarado es liberar tiempo del trabajo manual de recopilar datos entre paneles, para que los analistas dediquen más tiempo al criterio y la decisión, manteniendo siempre al humano en el circuito.

En el día a día, Proofpoint describe tres escenarios de uso: para los analistas, la consola no cambia pero sí el flujo de trabajo, ya que pueden preguntar en lenguaje natural y recibir un hallazgo con el contexto ya integrado de todos los productos conectados; para los CISO y responsables de equipo, la información puede llegar de forma programada —cacerías de amenazas nocturnas, resúmenes diarios de escalado— sin depender de que alguien recuerde solicitar un informe; y para cada investigación, se garantiza trazabilidad, ya que todo hallazgo puede auditarse hasta los datos de origen, de modo que una recomendación siempre pueda verificarse y no solo confiarse a ciegas.

En el apartado de disponibilidad, el SOC Analyst Agent está hoy en preview privado con un número creciente de clientes beta, y Proofpoint sitúa la disponibilidad general a finales del tercer trimestre de 2026, con el matiz habitual de que el calendario queda sujeto a las consideraciones estándar de lanzamiento de producto. La compañía aclara en su propio FAQ que se trata de un producto de Proofpoint —no de OpenAI—: los modelos Daybreak aportan parte de la capacidad de razonamiento a través de la Daybreak Defense Network, pero el producto, las conexiones de datos, los flujos de trabajo y las políticas de control siguen siendo de Proofpoint, que insiste en que las acciones permitidas al agente están limitadas por sus propias políticas con independencia de qué modelo esté razonando en cada momento. En esta primera fase, el preview privado y la beta se concentran en seguridad de datos —DLP de correo, gestión de amenazas internas y DLP en la nube—, y la compañía indica que el soporte a otros productos de su plataforma llegará en el trimestre siguiente. Quienes quieran verlo en funcionamiento deben contactar con su equipo de Applied Services de Proofpoint.