Daybreak redujo un análisis de malware de 4 a 6 semanas a 8 horas

SentinelOne afirma que OpenAI Daybreak produjo un resultado comparable al reverse engineering humano de malware complejo en unas 8 horas. Un investigador experto puede tardar entre 4 y 6 semanas en un trabajo similar. La cifra procede de un caso de OpenAI y SentinelOne, no de una prueba independiente.

Ocho horas cambian qué muestras se investigan

El reverse engineering descompone software para identificar su comportamiento, conexiones y funciones maliciosas. SentinelOne reservaba el análisis profundo para un grupo pequeño de amenazas prioritarias. Daybreak pretende liberar capacidad para estudiar más muestras.

Ese volumen puede revelar componentes compartidos entre campañas aparentemente separadas. El beneficio práctico supera al informe rápido: los analistas obtienen un mapa más amplio donde buscar pistas.

El equipo gana capacidad y una nueva cola de revisión

Si el resultado de 8 horas se repite, los especialistas senior no tendrán que ejecutar manualmente cada paso. Podrán fijar objetivos, revisar evidencias y centrarse en decisiones que cambien detecciones, incident response o arquitectura de producto.

SentinelOne también plantea ampliar el acceso a esa experiencia. Una persona menos especializada puede iniciar la investigación, pero la responsabilidad del resultado sigue siendo humana. Una primera versión más rápida genera además más material que validar.

El caso mide tiempo, pero no fiabilidad

OpenAI no publica el número de muestras, el diseño del test, la tasa de error ni el criterio usado para definir el nivel humano. Tampoco detalla cuántas intervenciones expertas hubo antes del informe final. Pasar de 4 a 6 semanas a 8 horas es una señal operativa potente, no una garantía general.

Los propios estudios de SentinelOne sobre investigaciones largas advierten de errores semánticos, controles débiles y finales anunciados demasiado pronto. En malware, un error convincente puede enviar a los defensores tras el objetivo equivocado.

Los casos cerrados decidirán el valor real

Las siguientes mediciones deben unir velocidad, precisión, correcciones humanas, coste y porcentaje de investigaciones que producen detecciones útiles. Importa el rendimiento con muestras empaquetadas, engañosas y desconocidas, no solo con demostraciones preparadas.

La mejor evidencia llegará de producción: más vínculos confirmados, menos tiempo hasta desplegar una detección y una trazabilidad que separe lo propuesto por el modelo de lo aprobado por el analista.

El veredicto de Lilith

Daybreak puede poner semanas de trabajo en la pantalla de un analista durante un solo turno. Sin una persona que detecte una pista falsa, solo fabrica errores a ritmo de cadena de montaje.