Grafo de acción de IA
SOC multi-agente · matrix-ai-bots · EN VIVO
conectando…
— ← Panel
Necesitás iniciar sesión en el panel para ver los datos en vivo. Ir al panel →
La plataforma SOC (LangGraph) no está activa (USE_LANGGRAPH=false). El grafo muestra la arquitectura; no hay métricas en vivo.
Plataforma LangGraph — Memoria B1 — Voto adversarial B0 — Piso de confianza — Diálogo socrático L2 — Ruteo de postura — Checkpoint durable — Continuidad L1 — LangSmith —
1 · Alerta2 · Triage y contexto3 · Investigación (N1→N2→N3)4 · Análisis (ACH)5 · Decisión6 · Aprende
AlertaWazuh SIEM
SSH brute-force con autenticación exitosa en srv-app-01
185.220.101.47 srv-app-01 deploy 5763
Triage y contextodeterminístico
Análisis inicial
  • Severidad + MITRE (T1110 / T1078)
  • enrich valida IP contra CTI
Memoria
  • entity_lookup B1
  • case_lookup B2
N1 abre múltiples líneas de investigación · ~80% se resuelven en N1
N1 · Haiku
¿Cuántas alertas 5763 en 24h y con qué patrón temporal?
N1 · Haiku
¿Baseline de srv-app-01 y deploy? ¿Conocidos en la KB?
N1 → CTI · Haiku
¿La IP 185.220.101.47 es maliciosa (reputación externa)?
N2 · Sonnet · ACH
¿Es material? ¿Hubo post-explotación (persistencia, lateral)?
N3 · Opus · NIST
Plan NIST, causa raíz y persistencia residual del compromiso
Decisión · HITL
Severidad ≥9 + tipo crítico → el grafo se pausa (interrupt()) y espera !aprobar / !rechazar en Matrix.
Aprobación humana Email (Resend) Contención · gate doble
Aprende del caso
El veredicto vuelve a la memoria: la próxima alerta parecida no se analiza desde cero.
B1 · — entidades B2 · — casos B3 · !fp / !tp
N1 · Haiku filtro de volumen (~80%) N2 · Sonnet ACH (~20%) N3 · Opus respuesta NIST (<1%)
Datos en vivo desde /api/soc/status (requiere sesión del panel). El recorrido de investigación es un ejemplo de la arquitectura, no un caso medido. Auto-actualiza cada 15 s.