SentinelOne en OneCon 2026: la IA detecta, los humanos deciden

SentinelOne (S) aprovechó su sesión en OneCon 2026, celebrada en Las Vegas el miércoles 21.10.2026, para defender que la próxima fase de la ciberseguridad dependerá de combinar la inteligencia artificial con la experiencia humana. La compañía afirmó que este enfoque ya está mejorando la detección de amenazas, al tiempo que advirtió que las herramientas de IA ofensiva están haciendo que los ataques sean más rápidos y frecuentes.

Conclusiones clave

• SentinelOne indicó que su capacidad de búsqueda de amenazas asistida por IA ha mejorado un 2.200% en la detección de actividad maliciosa desde su lanzamiento en diciembre de 2024.
• La compañía señaló que ahora identifica aproximadamente 28 notificaciones de intrusión al día únicamente a través de la búsqueda asistida por IA.
• La dirección argumentó que la IA beneficia más a los defensores que a los atacantes, ya que los ataques impulsados por IA son altamente detectables.
• SentinelOne destacó la vulnerabilidad React2Shell como una prueba importante de su estrategia de detección de siete capas.
• La compañía presentó su estrategia como una combinación de agentes de IA y expertos humanos trabajando conjuntamente las 24 horas del día.

Estrategia: IA más analistas humanos

El director de Atención al Cliente, Steve Stone, afirmó que la principal ventaja de SentinelOne no es la inteligencia artificial en sí misma, sino la forma en que la compañía combina modelos de IA con analistas expertos. Señaló que el objetivo es alejar a los equipos de seguridad del modelo de operaciones en "modo héroe" y avanzar hacia un modelo más sostenible en el que las máquinas gestionen el trabajo repetitivo y las personas centren la atención en decisiones complejas.

22,00

▲+0,29(+1,34%)

Mercado cerrado·20/10·USD

22,22

▲+0,22(+1,00%)

Después del cierre·23:57:19

• Los agentes de IA pueden trabajar 24 horas al día sin fatiga.
• Los expertos humanos pueden dedicar más tiempo al análisis y la toma de decisiones.
• La compañía indicó que esta división del trabajo ayuda a los equipos a actuar con mayor rapidez y a mayor escala.
• Stone señaló que este enfoque puede contribuir a crear carreras profesionales más sostenibles en las operaciones de ciberseguridad.

Stone mencionó a varios especialistas internos involucrados en el proyecto, entre ellos Luko, que lidera el equipo de búsqueda de amenazas; Brian Kearns, responsable de la búsqueda asistida por IA; Sagi Shoshani, encargado de desarrollar modelos; y Matan Weinstein, especialista en detección.

Panorama de amenazas: ataques más rápidos, patrones más visibles

Stone afirmó que el entorno de amenazas está cambiando rápidamente. Citando una evaluación del Gobierno del Reino Unido, señaló que los modelos de IA de última generación duplican la capacidad cibernética ofensiva cada cuatro meses. Añadió que, desde el anterior OneCon, la capacidad ofensiva de dichos modelos se ha triplicado.

• Los ataques impulsados por IA se observan ahora en todo el panorama de amenazas, no solo entre grupos respaldados por estados.
• Grupos pequeños, actores individuales y gobiernos están utilizando métodos de ataque asistidos por IA.
• Stone afirmó que estos ataques son "muy detectables" porque los agentes de IA suelen moverse a velocidad de máquina y prestan menos atención al sigilo.
• Argumentó que los defensores obtienen más beneficios de la IA que los atacantes.

Stone indicó que la compañía detecta aproximadamente 28 notificaciones de intrusión al día que solo se identifican mediante la búsqueda asistida por IA. También señaló que las detecciones de verdaderos positivos aumentaron un 50% interanual, con más de 14 millones de verdaderos positivos identificados en el último año natural.

Contexto financiero y operativo

La compañía no presentó una actualización de resultados tradicional en esta sesión, pero sí ofreció métricas operativas destinadas a mostrar la escala de su trabajo de detección y el ritmo de crecimiento de su base de clientes.

• Las detecciones de verdaderos positivos aumentaron un 50% interanual.
• Se identificaron más de 14 millones de verdaderos positivos en el último año natural.
• Las organizaciones típicas incrementan sus endpoints en torno a un 16%, y SentinelOne indicó que los entornos de sus clientes muestran un crecimiento similar.
• La búsqueda asistida por IA produjo un aumento del 380% en la detección de actividad maliciosa en el primer trimestre tras su lanzamiento.
• Seis meses después del lanzamiento, el incremento alcanzó el 1.400%.
• Un año después del lanzamiento, el incremento llegó al 2.200%.

SentinelOne indicó que las cifras reflejan tanto el crecimiento en general de su base de clientes como la capacidad de la compañía para detectar más amenazas a medida que sus modelos mejoran. El mensaje fue que el sistema no es estático: mejora a medida que procesa más actividad y los analistas lo perfeccionan.

Marco de detección de siete capas

Stone expuso lo que denominó la estrategia de detección y búsqueda de amenazas de siete capas de SentinelOne. La compañía señaló que las capas funcionan de forma conjunta, utilizando la búsqueda para identificar nuevos patrones que posteriormente pueden convertirse en detecciones de nivel productivo.

• Indicadores de compromiso, o detecciones frágiles, utilizados para rastrear la actividad de comando y control.
• Firmas diseñadas para identificar amenazas específicas.
• Modelos autónomos, que la compañía afirmó que son fundamentales en su plataforma desde su fundación y la presentación de su primera patente en 2014.
• Búsqueda basada en inteligencia de amenazas.
• Búsqueda en tiempo real.
• Búsqueda retrospectiva.
• Búsqueda de amenazas basada en IA, lanzada el 01.12.2024.

Stone señaló que la búsqueda es exploratoria, mientras que las detecciones están diseñadas para una implementación amplia. En su opinión, ambas funciones se complementan: la búsqueda identifica amenazas novedosas y casos extremos, y los ingenieros convierten esos hallazgos en detecciones para la plataforma.

React2Shell: un caso de prueba importante

Uno de los principales ejemplos de la presentación fue React2Shell, una vulnerabilidad crítica divulgada el 03.12.2024 con una puntuación CVSS de 10,0. Stone afirmó que fue el evento de explotación masiva más rápido del último año.

• SentinelOne lanzó la búsqueda asistida por IA el 01.12.2024, justo antes de la divulgación.
• AWS observó la primera explotación aproximadamente 12 horas después de la divulgación.
• CISA añadió el problema a su lista de Vulnerabilidades Explotadas Conocidas 36 horas después de la primera explotación.
• SentinelOne indicó que su primera detección en el entorno de un cliente se produjo el 09.12.2024.
• El primer método de detección fue la búsqueda de amenazas asistida por IA.

Stone señaló que la compañía contaba con una cobertura sólida en sistemas Linux y Mac, pero más limitada en Windows, lo que convirtió este caso en una útil prueba de estrés. SentinelOne utilizó su marco de siete capas para identificar la forma general del ataque y posteriormente refinó los hallazgos en detecciones más robustas.

Indicó que Google Threat Intelligence identificó al menos cinco grupos de amenazas con base en China que explotaban el fallo, mientras que la investigación de SentinelOne encontró al menos siete grupos de amenazas significativos en la primera semana. En los primeros 30 días, la compañía identificó ocho víctimas potenciales procedentes de numerosos grupos de amenazas.

Cómo gestionó la compañía la vulnerabilidad

SentinelOne indicó que inicialmente recurrió a la búsqueda en lugar de a las detecciones de producción, ya que el patrón era amplio y aún estaba evolucionando. Los analistas compararon la actividad sospechosa con pruebas de penetración legítimas para separar los ataques reales de la actividad benigna.

• La compañía utilizó modelos de IA y revisión experta para distinguir el comportamiento malicioso de las pruebas autorizadas.
• Reforzó las siete categorías de detección a medida que mejoraba la inteligencia disponible.
• Posteriormente convirtió los resultados de la búsqueda en detecciones de nivel productivo para la plataforma.

El caso se presentó como ejemplo del modo en que la compañía quiere operar: detectar de forma temprana, aprender rápidamente y después reforzar la plataforma para un uso más amplio.

SectopRAT: amenaza persistente con envoltura cambiante

Stone también abordó SectopRAT, una amenaza activa desde hace siete años que se utiliza para robar sesiones de navegador y carteras de criptomonedas. Señaló que el malware cambia su envoltura de distribución cada pocos meses, lo que lo convierte en un ejemplo útil de cómo mantener la detección a lo largo del tiempo.

El 13.07, SentinelOne indicó que actualizó las reglas estáticas para Windows y Linux, ajustó las detecciones de comportamiento para identificar la actividad de robo de cookies y mantuvo las detecciones frágiles utilizando 50 indicadores de compromiso activos conocidos para comando y control.

• La compañía utilizó la búsqueda asistida por IA para encontrar variantes en evolución y casos extremos.
• Realizó búsquedas retrospectivas con una ventana de dos semanas en los entornos de los clientes.
• Esas búsquedas produjeron más de seis hallazgos.
• SentinelOne utilizó el caso para comprobar si sus otras detecciones funcionaban según lo previsto.

Stone señaló que la compañía también desarrolló conjuntos de reglas de búsqueda para patrones de ejecutables específicos y un paquete de búsqueda de carga lateral de DLL centrado en el comportamiento en lugar de en una herramienta concreta. El objetivo era examinar las rutas de ataque completas a través de las siete capas de detección.

Mensaje de mercado y posición competitiva

Stone afirmó que SentinelOne cuenta con una ventaja de 12 años en detección autónoma, señalando la primera patente de la compañía presentada en 2014. Enmarcó esa trayectoria como parte del posicionamiento actual de la empresa en un mercado en el que muchos proveedores intentan ahora incorporar funciones de IA.

• SentinelOne reconoció que no es la única compañía que persigue la búsqueda asistida por IA.
• Indicó que su diferencia radica en combinar múltiples capas de detección con experiencia humana.
• La compañía subrayó la responsabilidad y la transparencia respecto a lo que prometió a los clientes y lo que entregó.
• Señaló que desea compartir las lecciones aprendidas con la comunidad de ciberseguridad en general.

Stone indicó que la visión de la compañía es que la IA ayuda más a los defensores que a los atacantes, porque los sistemas defensivos pueden usar la IA para detectar patrones, mientras que los atacantes suelen utilizarla para escalar métodos que siguen siendo visibles. Esa visión fue el hilo conductor de gran parte de la presentación.

Perspectivas de futuro

SentinelOne afirmó que el trabajo presentado en OneCon 2026 forma parte de una hoja de ruta más amplia. La compañía indicó que Chris Corde y su equipo presentarán nuevos lanzamientos tecnológicos más adelante en el evento, y que Tomer expondrá la dirección de la compañía y su posición en el mercado.

• La compañía tiene previsto seguir ampliando la búsqueda asistida por IA en todas sus capas de detección.
• Quiere mantener el ritmo frente a los ataques a velocidad de máquina.
• Tiene como objetivo continuar convirtiendo los descubrimientos de la búsqueda en protecciones de nivel productivo.
• Seguirá combinando la automatización con analistas expertos.

El mensaje de Stone fue que los equipos de ciberseguridad necesitan herramientas que puedan funcionar de forma continua sin dejar de dar espacio al juicio humano. Afirmó que ese modelo ya está ayudando a SentinelOne a detectar actividad de intrusión poco frecuente y a mejorar las operaciones diarias.

Para acceder a la discusión completa y al contexto adicional, consulte la transcripción a continuación.

Este artículo ha sido generado y traducido con el apoyo de AI y revisado por un editor. Para más información, consulte nuestros T&C.