SentinelOne afirma que el threat hunting asistido por IA detecta ahora 28 intrusiones de clientes al día, un aumento del 2.200% en un año, al citar que la capacidad cibernética de los modelos de frontera se duplica cada 4 meses
Sesión previa al evento OneCon 2026, Las Vegas, 20 de octubre de 2026
SentinelOne aprovechó la noche inaugural de su conferencia de clientes OneCon para respaldar con cifras su programa de threat hunting asistido por inteligencia artificial, lanzado en el evento del año pasado. El director de atención al cliente (CCO), Steven Stone, presentó las cifras como un ejercicio de rendición de cuentas, una mirada retrospectiva a lo que la compañía prometió sobre el escenario hace un año. Los principales anuncios de productos y estrategia están programados para el 21 de octubre, con la participación prevista del liderazgo de producto y del CEO, Tomer Weingarten. La sesión de esta noche fue más acotada y las revelaciones tuvieron un carácter operativo y no financiero. Aun así, ofrecen a los inversores una rara visión cuantitativa de cómo está rindiendo en producción la capacidad de IA más reciente de SentinelOne.
El threat hunting asistido por IA escala con rapidez, aunque desde una base pequeña
El dato central es que el threat hunting asistido por IA, que entró en funcionamiento el 1 de diciembre de 2025, notifica ahora a los clientes sobre actividad de intrusión 28 veces al día. Stone señaló que la capacidad de la compañía para encontrar actividad maliciosa con este método aumentó un 380% en su primer trimestre, un 1.400% a los seis meses y un 2.200% en el cómputo de todo el año. Fue sincero al admitir que las primeras cifras tienen un peso limitado. "Cualquiera de nosotros que haya construido algo sabe que en su primera iteración se pasa de la nada a algo", afirmó. "Ese no es realmente un número significativo". Las 28 notificaciones diarias son la cifra que, según dijo, importa a los clientes.
Stone también indicó que SentinelOne identificó más de 14 millones de detecciones verdaderas positivas para sus clientes en el último año calendario, lo que representa un incremento del 50%. Contrastó esto con un crecimiento de aproximadamente el 16% en los endpoints por organización, cifra que, según dijo, coincide con la propia base instalada de SentinelOne. Por lo tanto, el volumen de detección está creciendo cerca de tres veces más rápido que la superficie que se está protegiendo. Atribuyó esto a los modelos autónomos de la compañía. Señaló que la primera patente de SentinelOne, presentada en 2014, cubría un modelo autónomo de detección de malware, y argumentó que este historial le otorga a la empresa una ventaja inicial mientras otros luchan por incursionar en la IA. La compañía no proporcionó datos de ingresos, márgenes o tasas de adopción vinculados a estas capacidades, por lo que la forma en que el progreso técnico se traduce en resultados financieros sigue abierta.
React2Shell: una prueba de estrés en un plazo de 48 horas desde su lanzamiento, con un reconocimiento de vulnerabilidad en Windows
Stone describió la vulnerabilidad React2Shell como la primera prueba real del nuevo motor de hunting. La falla, divulgada el 3 de diciembre con una puntuación CVSS de 10.0, permitía el compromiso a través de una única solicitud HTTP manipulada, sin autenticación ni acción por parte del usuario. SentinelOne lanzó el threat hunting asistido por IA dos días antes de la divulgación. Stone indicó que la compañía observó la primera actividad de React2Shell en un cliente el 9 de diciembre, y que el threat hunting asistido por IA fue el primer mecanismo en señalarla. El motor de hunting había sido diseñado para reconocer la forma general de la explotación web.
Stone se mostró inusualmente directo sobre las debilidades. "Sabíamos que teníamos una cobertura sólida en Linux y Mac al principio, pero tuvimos verdaderos retos en Windows", afirmó, y añadió que la compañía tenía "debilidades que tuvimos que cubrir". También hizo un comentario que los inversores que sopesan el debate entre IA y humanos deberían tomarse en serio. La primera alerta parecía una prueba de penetración rutinaria, y fue un analista humano con años de experiencia en pruebas de pentest quien determinó que algo no iba bien. "Nos encanta decir que tenemos respuestas tecnológicas, que todo es universal. Es controlado por máquinas. Así no fue como empezamos en esto", señaló. "Tuvimos a un experto que analizó pruebas de penetración durante años, y ese experto pudo decir: simplemente sé que esto no está bien".
Stone explicó por qué este tipo de detección se implementa como una tarea de hunting y no como una detección de producción. Una herramienta que reconoce la amplia forma de la explotación web, en sus palabras, "haría explosión" en los endpoints y "sepultaría a nuestros clientes en alertas". Los hallazgos del hunting se refinan y luego se convierten en detecciones aptas para producción, lo que a su vez libera a la capa de hunting para buscar nueva actividad. Durante los primeros 30 días, SentinelOne identificó a 8 víctimas potenciales entre sus clientes, en una actividad que incluyó el reconocimiento de dominios —el cual, según Stone, parecía diseñado para conducir a intrusiones más profundas— y la minería de criptomonedas. La investigación propia de SentinelOne identificó al menos a 7 grupos de amenazas importantes que explotaron la vulnerabilidad en la primera semana. Stone citó un informe de AWS sobre un grupo con sede en China en unas 12 horas, y señaló que la inclusión de la falla por parte de CISA en su lista de vulnerabilidades explotadas conocidas se produjo 36 horas después de la primera explotación.
SectopRAT muestra el caso de uso menos glamuroso
El tercer ejemplo fue deliberadamente mundano. SectopRAT, un troyano de sesión de navegador y robo de carteras de criptomonedas al que SentinelOne ha hecho seguimiento durante 7 años, aparece con un nuevo envoltorio de entrega cada pocos meses. El envoltorio más reciente se disfraza como un instalador falso de Claude Desktop. Stone indicó que el threat hunting asistido por IA no fue el método principal de detección en este caso. Funcionó como una capa de control de calidad, comprobando que las reglas estáticas, las detecciones de comportamiento y los aproximadamente 50 indicadores de comando y control conocidos seguían atrapando variantes. La compañía también creó un paquete de hunting para la carga lateral de DLL (DLL side-loading) enfocado en el comportamiento más que en el malware específico. Esto sugiere que el valor a corto plazo de la tecnología radica tanto en mantener la cobertura como en descubrir amenazas novedosas.
Panorama de amenazas: la capacidad ofensiva de la IA se triplica y los atacantes actúan a velocidad de máquina
Stone citó una evaluación del gobierno del Reino Unido, publicada hace unos tres meses, que indica que los modelos de frontera están duplicando su capacidad cibernética ofensiva cada 4 meses. Según sus cálculos, esa capacidad se ha triplicado desde el OneCon anterior. Señaló que el uso de la IA por parte de los atacantes ya no es una predicción. "Eso no es el año que viene, eso fue el año pasado", afirmó, destacando su uso por parte de individuos, pequeños grupos y gobiernos.
Rechazó la idea de que el descubrimiento de vulnerabilidades impulsado por IA sea el principal problema. "Encontrar vulnerabilidades nunca ha sido el cuello de botella del atacante", aseguró, estimando que los defensores estaban "múltiples" vulnerabilidades y exploits por detrás hace 20 años, 100 por detrás hace dos años y 1.000 por detrás ahora. El cambio más importante, en su opinión, es que "por primera vez, estamos viendo literalmente a los atacantes moverse a velocidad de máquina". Ofreció un aspecto positivo moderado: los ataques impulsados por IA pueden ser más fáciles de detectar porque los agentes son menos disciplinados en cuanto a la evasión, y las instrucciones obligan a los atacantes a "escribir literalmente lo que quieren hacer".
La afirmación sobre la ventaja del defensor y lo que implica para la plataforma
Stone aventuró que esta es "la primera tecnología que realmente creo que beneficia más a los defensores que a los atacantes", aunque recalcó que las herramientas por sí solas son insuficientes sin expertos. Ese planteamiento sustenta la propuesta comercial de SentinelOne en torno a sus servicios de amenazas relanzados, la oferta Wayfinder, Purple AI y las investigaciones basadas en agentes. Stone indicó que a los agentes se les pueden asignar tareas como al personal, operando las 24 horas y liberando a los analistas del trabajo rutinario. La afirmación es plausible y coherente con las métricas de la compañía, pero sigue siendo la perspectiva de un ejecutivo en un proveedor que comercializa la solución. Cabe destacar que la sesión no ofreció puntos de referencia independientes, ni tasas de falsos positivos para el motor de hunting, ni métricas económicas a nivel de cliente. Los inversores esperarán la hoja de ruta de productos de mañana y los comentarios de Weingarten en busca de evidencia de que estas ganancias operativas puedan impulsar un crecimiento duradero en el negocio de plataformas.