El fin del peaje por ingesta de datos: Mave capta 34 millones para sustituir las consolas SIEM por agentes autónomos
Mave Security levanta 34 millones de dólares para conectar herramientas de ciberseguridad sin volcar registros en almacenes centrales. Análisis de costes, latencia y arquitectura agéntica.
Fecha de publicación: 2026.10.23
Visitar Sitio OficialElimina licencias de ingesta masiva por gigabyte diario
Frente a los 45–90 minutos del triaje manual tradicional
Aislamiento y bloqueo sujetos a políticas estrictas de la empresa
Consultar las alertas directamente en cada herramienta nativa elimina hasta un 70% del coste de ingestión en almacenes centrales y recorta el triaje de ho…
El cuello de botella del centro de operaciones y la trampa del almacenamiento centralizado
Durante las dos últimas décadas, el modelo dominante de ciberseguridad corporativa se ha apoyado en una premisa costosa: para defender una red, primero hay que enviar cada registro de actividad a un depósito central, habitualmente un sistema de gestión de información y eventos de seguridad (SIEM). Esta arquitectura obliga a las empresas a pagar dos veces: primero por la licencia de cada herramienta defensiva (antivirus de punto final, cortafuegos, pasarelas de correo y gestores de identidad) y después por la infraestructura de tuberías y almacenamiento que absorbe terabytes de datos diarios. En la práctica, muchas organizaciones deciden no monitorizar ciertos servidores o registros secundarios porque el peaje de licencias por gigabyte desborda su presupuesto anual.
La consecuencia operativa de este compromiso financiero es crítica. Cuando salta una alarma, el analista de seguridad que abre el expediente en el centro de operaciones (SOC) descubre con frecuencia que la información contextualmente relevante nunca llegó al SIEM. Faltan detalles de configuración de la nube, historiales de acceso a identidades federadas o trazas de ejecución en memoria. Para saber si una alerta es un ataque real o una falsa alarma inocua, el operador humano debe abandonar la pantalla principal, abrir de tres a cinco consolas independientes, autenticarse, buscar los registros manualmente en lenguajes de consulta distintos y contrastar las marcas de tiempo a mano. Este proceso artesanal consume entre 45 y 90 minutos por incidente, un tiempo que los atacantes automatizados aprovechan para comprometer credenciales y propagarse lateralmente.
La empresa israelí Mave Security ha obtenido 34 millones de dólares en capital de crecimiento para romper esta dependencia del almacén centralizado. La ronda combina una Serie A de 28 millones de dólares liderada por Red Dot Capital Partners (con el respaldo de Lumir Growth Partners) y una ronda semilla previa de 6 millones coliderada por Dell Technologies Capital y Emerge Ventures. Fundada en 2025 por Raziel Oren (exresponsable comercial en Wing Security) y Guy Eshel (antiguo vicepresidente de I+D en Alterya, adquirida por Chainalysis), ambos veteranos de la Unidad 8200 de las Fuerzas de Defensa de Israel, la compañía propone un enfoque radicalmente distinto: en lugar de mover los datos hacia una base de datos central gigantesca, despliega un sistema de inteligencia artificial agéntica que viaja hacia las herramientas donde los datos ya residen.
Arquitectura de ingestión central frente a investigación agéntica federada
Diferencias estructurales entre el modelo SIEM tradicional y la consulta federada de Mave
Modelo Centralizado (SIEM / Data Lake)
Alto peaje de red y almacenamiento- • Exige indexar y pagar por terabytes diarios de registros no analizados
- • El contexto se recorta en origen para reducir la factura mensual
- • El analista reconstruye manualmente los huecos entre consolas dispersas
Modelo Agéntico Federado (Mave)
Consulta distribuida en origen- • Mantiene los datos en sus herramientas nativas sin coste de ingestión extra
- • Interroga directamente cada API nativa con agentes autónomos coordinados
- • Reconcilia evidencias y descarta falsos positivos en 3 a 5 minutos
El motor de Mave actúa como un equipo virtual de analistas expertos con acceso programático a todo el ecosistema de seguridad. Cuando se genera una señal sospechosa en cualquier punto de la infraestructura, los agentes interrogan a cada aplicación en su propio lenguaje técnico, reconstruyen la cronología completa de los hechos, filtran los falsos positivos y ejecutan contenciones automáticas sin salirse de los límites predefinidos por la dirección técnica. Al evitar el paso de ingestión masiva, la cobertura de seguridad deja de estar limitada por el presupuesto de almacenamiento.
34 millones de dólares frente a la factura del SIEM: Métricas reales de arquitectura y coste
La tesis de inversión que defienden fondos como Red Dot y Dell Technologies Capital no se limita a una mejora cosmética en la interfaz del SOC; ataca directamente la estructura de costes de la ciberseguridad empresarial. En el modelo tradicional, el coste total de propiedad (TCO) escala de forma proporcional al volumen de datos generado por la infraestructura, no al riesgo real que asume la empresa.
Para dimensionar el impacto financiero, consideremos un centro corporativo medio que genera 1 terabyte de registros diarios combinando telemetría de puntos finales, registros de cortafuegos perimetrales, eventos de Kubernetes y accesos de identidad en la nube. En plataformas tradicionales de monitorización como Datadog o almacenes de registros en la nube donde la ingestión ronda entre 0,10 y 0,25 dólares por gigabyte indexado, solo el peaje de tubería y retención durante 30 días puede suponer entre 36.000 y 90.000 dólares anuales por terabyte diario, sin contar las licencias de usuario del equipo de respuesta. Con el enfoque federado, ese gasto en almacenamiento intermedio se reduce de forma drástica.
Impacto operativo: Triaje tradicional manual frente a investigación agéntica
Comparativa estimada de tiempos de respuesta y dedicación de analistas por cada 1.000 alertas
Los clientes de Mave, que ya incluyen empresas de la lista Fortune 50 y proveedores globales de servicios gestionados de seguridad (MSSP), han permitido a la empresa multiplicar sus ingresos recurrentes anuales (ARR) por más de un 400% en los últimos doce meses, alcanzando contratos individuales de siete cifras. El rendimiento medido en entornos de producción financiera y sanitaria regulada arroja diferencias operativas sustanciales frente a las herramientas de orquestación previas:
| Parámetro evaluado | Flujo tradicional con SIEM y SOAR | Plataforma agéntica federada de Mave | Beneficio operativo medido |
|---|---|---|---|
| Ingestión de datos | Obligatoria por gigabyte procesado | No requiere mover datos; consulta in situ | Ahorro del 60–75% en almacenamiento |
| Tiempo de triaje inicial | 45–90 minutos por incidente | Menos de 5 minutos de media | Reducción de latencia defensiva |
| Mantenimiento de reglas | Scripts de correlación rígidos en SIEM | Agentes adaptables por contexto nativo | Menor esfuerzo de ingeniería de detección |
| Cobertura de contexto | Limitada por cuotas de presupuesto | Acceso total a APIs de identidad y nube | Sin puntos ciegos por motivos de coste |
| Tasa de falsos positivos | 70–85% de alertas descartadas a mano | Descarte autónomo con prueba documentada | Descarga del 80% de fatiga de alerta |
| Aislamiento de amenazas | Manual o mediante guiones SOAR frágiles | Contención automática según reglas fijas | Bloqueo previo a la exfiltración |
Este contraste pone de manifiesto por qué las plataformas de automatización clásicas (SOAR) han tenido dificultades para consolidarse: dependían de guiones rígidos que se rompían cada vez que una herramienta de terceros modificaba una coma en su formato de salida. Los agentes de lenguaje e inferencia de Mave traducen las intenciones de seguridad al protocolo nativo de cada fabricante sin exigir la reprogramación constante de flujos de trabajo.
El impacto directo en el trabajo diario del equipo de seguridad
La implantación de un sistema agéntico no es un simple cambio de software; altera el flujo de trabajo de los analistas, la contabilidad del departamento y la velocidad a la que se neutralizan las intrusiones activas. Este cambio repercute en tres áreas críticas del negocio.
1. Recorte en los gastos de explotación y licencias de datos (OPEX)
En un departamento de tecnología habitual, el presupuesto de seguridad suele estar fragmentado entre diez o quince proveedores distintos. El gasto se dispara cuando el equipo de infraestructura intenta conectar todo ese ecosistema a un almacén común. Los ingenieros deben diseñar tuberías de extracción, transformación y carga (ETL), pagar por el ancho de banda saliente de los proveedores de nube y reservar capacidad de cálculo para indexar registros que en un 98% de los casos jamás se vuelven a leer. Mave traslada el gasto hacia la capacidad de análisis bajo demanda: solo se consumen recursos de consulta cuando existe una sospecha justificada.
2. Disminución radical de la latencia en la contención de incidentes (Lead Time)
En los ataques contemporáneos basados en robo de identidades o ejecución en memoria, el tiempo de permanencia del atacante antes de obtener privilegios de administración se cuenta en minutos, no en días. Cuando un operador humano debe saltar entre Okta, CrowdStrike, AWS CloudTrail y Microsoft Sentinel para confirmar si una conexión desde una IP desconocida corresponde a un empleado de viaje o a un atacante, la ventana defensiva se cierra. Los agentes de Mave recopilan esas cuatro fuentes en paralelo en cuestión de segundos, correlacionan la sesión con el dispositivo físico y presentan el veredicto con la evidencia completa ya estructurada.
3. Preservación del conocimiento interno y fin de la rotación en el SOC
La tasa de abandono entre los analistas de nivel 1 y nivel 2 en los centros de ciberseguridad supera con frecuencia el 30% anual. La causa principal es la fatiga cognitiva: pasar ocho horas al día cerrando falsas alarmas idénticas procedentes de herramientas mal calibradas. Al automatizar la verificación de evidencias y descartar de forma justificada el ruido irrelevante, los analistas humanos pueden centrarse en la respuesta estratégica, la caza proactiva de amenazas y la mejora de las políticas corporativas, protegiendo la estabilidad del servicio.
Cortafuegos agénticos: Cómo los pioneros evitan que la IA tome decisiones descontroladas
El mayor temor de cualquier director de seguridad de la información (CISO) ante la llegada de la inteligencia artificial autónoma es la pérdida de control: que un modelo tome una decisión errónea, bloquee la cuenta del director financiero en mitad de un cierre de trimestre o desconecte un servidor de producción crítico al confundir una actualización legítima con un ataque de ransomware.
Para resolver este dilema, la arquitectura de Mave implementa un esquema de autonomía delimitada. Los agentes tienen libertad absoluta para investigar, recopilar información, traducir consultas y redactar informes de incidentes, pero sus capacidades de mitigación física están sujetas a barreras inviolables definidas de antemano por el equipo de seguridad humana.
Secuencia operativa desde la recepción de la señal hasta la neutralización del incidente
Captura de señal nativa
Recepción del evento en la herramienta de origen sin ingestión central
Consulta paralela distribuida
Agentes interrogan simultáneamente identidad, red y puntos finales
Reconciliación y filtrado
Cruce de cronologías, eliminación de falsos positivos y asignación de campaña
Respuesta en marco estricto
Aislamiento de equipos o revocación de credenciales según reglas pactadas
Durante incidentes reales documentados por la compañía, este sistema permitió neutralizar accesos no autorizados aislando máquinas comprometidas y deshabilitando credenciales vulneradas antes de que los atacantes pudieran exfiltrar información confidencial. El factor diferencial radicó en que la respuesta automática no dependía de una regla estática predefinida —que el atacante suele conocer y sortear—, sino de la confirmación cruzada de anomalías en múltiples capas simultáneas.
Frente a los intentos previos de gigantes consolidados de la industria, que intentaron añadir asistentes de lenguaje tipo chat sobre sus consolas existentes, Mave aborda el problema desde el fundamento del motor: el agente no es un consultor al que el humano le hace preguntas por texto, sino un trabajador de fondo que entrega el trabajo de investigación completamente terminado cuando el humano llega a su puesto.
Criterios de decisión técnica: Cuándo adoptar la seguridad agéntica federada y cuándo esperar
El paso de una arquitectura basada en depósitos de registros a un ecosistema federado mediante agentes de software representa una evolución profunda en la estrategia de defensa. No todas las organizaciones están preparadas para prescindir de sus almacenes tradicionales ni todas las infraestructuras toleran este modelo de forma inmediata. A continuación, se detallan las condiciones operativas que determinan la conveniencia del despliegue.
Evaluación de madurez arquitectónica para plataformas agénticas
¿Qué factor condiciona principalmente las operaciones del SOC actual?
Migración a modelo federado agéntico
Desconectar registros no críticos del SIEM y habilitar consultas API in situ
Modelo híbrido con almacenamiento frío
Mantener almacenamiento pasivo en disco de bajo coste y usar agentes para triaje
Empresas que deben evaluar e implantar esta tecnología de inmediato
- Organizaciones con costes de ingestión desbocados en el SIEM: Equipos que han tenido que desactivar la monitorización de registros de red, balanceadores o contenedores efímeros porque la factura de licencias crecía por encima del presupuesto asignado.
- Proveedores de servicios gestionados de seguridad (MSSP): Empresas de servicios que gestionan cientos de clientes heterogéneos y no pueden permitirse estandarizar o migrar los depósitos de datos de cada cliente a una infraestructura propietaria unificada.
- Entornos regulados con múltiples nubes públicas: Compañías de los sectores financiero y sanitario con cargas de trabajo repartidas entre AWS, Azure y centros de datos locales, donde transferir datos entre diferentes zonas geográficas genera costes de latencia y restricciones regulatorias de soberanía.
Empresas que deben posponer la adopción y mantener su esquema actual
- Organizaciones con infraestructura legada sin interfaces programables: Entornos industriales o corporativos antiguos basados en sistemas operativos obsoletos que carecen de APIs modernas para que los agentes realicen consultas en tiempo real.
- Compañías sujetas a auditorías de cumplimiento que exigen retención bruta obligatoria: Entidades obligadas por ley a almacenar cada línea de registro inmutable durante periodos de tres a siete años; en estos casos, el almacén de datos sigue siendo preceptivo para fines legales, aunque no resulte eficiente para la respuesta operativa.
- Equipos sin políticas formales de respuesta a incidentes: Si una organización no tiene definidos con absoluta claridad los límites de actuación (qué sistemas se pueden aislar de forma automática y cuáles exigen autorización por escrito de la dirección de operaciones), introducir agentes autónomos de mitigación puede provocar paradas no deseadas en los procesos de negocio.