Cómo Trellix Redujo el Tiempo de Análisis de Logs de Días a Minutos con LangGraph

Trellix protege a más de 40.000 organizaciones en todo el mundo con detección de amenazas nativa de IA y capacidades de detección y respuesta extendidas (XDR). Detrás de esas capacidades orientadas al cliente, los propios equipos de ingeniería de Trellix se enfrentaban a una carga operativa creciente: miles de solicitudes entrantes de clientes para integraciones de ciberseguridad y servicios de análisis de logs, cada una de las cuales requería que un ingeniero interpretara manualmente los formatos de log, escribiera el código de análisis y gestionara comunicaciones de ida y vuelta. Cada solicitud consumía entre 2 y 3 días de trabajo de ingeniería y acumulaba una cola de pendientes que frustraba tanto a los clientes como a los equipos internos.

La respuesta de la empresa fue Sidekick, una plataforma agéntica interna diseñada para automatizar las partes más repetitivas de este flujo de trabajo. El desafío en la construcción de sistemas agénticos, sin embargo, no es solo conseguir que funcionen, sino conseguir que funcionen con la fiabilidad suficiente para desplegarlos, explicarlos a las partes interesadas e iterar sobre ellos con confianza. Trellix necesitaba un framework que soportara un diseño modular, la supervisión humana durante el desarrollo y las pruebas, y una observabilidad estructurada una vez en producción.

LangGraph proporcionó la capa de orquestación. Sus patrones de map-reduce y la Send API permitieron que Sidekick se compusiera como un conjunto de módulos discretos y reutilizables en lugar de un agente monolítico frágil. De forma crucial, las funcionalidades de human-in-the-loop de LangGraph permitieron a los ingenieros pausar la ejecución del agente, revisar decisiones, aprobar o modificar acciones y reiniciar flujos de trabajo —una capacidad que resultó esencial para generar confianza en el sistema antes del despliegue completo—. La interfaz visual de grafos de LangGraph Studio hizo que la lógica interna del agente fuera transparente para las partes interesadas no técnicas, ayudando a los directivos a comprender que Sidekick operaba como un programa cuidadosamente diseñado y no como una caja negra opaca.

LangSmith actuó como columna vertebral de la observabilidad. El equipo usó sus funcionalidades de gestión de conjuntos de datos y seguimiento de experimentos para comparar sistemáticamente diferentes arquitecturas de agentes, monitorizando métricas como las tasas de recursión y la frecuencia de recuperación de documentos. Los datos de trazas estructuradas sustituyeron a los logs brutos de AWS CloudWatch como interfaz principal de depuración, reduciendo drásticamente el tiempo hasta el diagnóstico al investigar fallos.

Los resultados fueron inmediatos y medibles. El análisis de logs que antes requería entre 2 y 3 días de trabajo manual de ingeniería ahora se completa en minutos. El desarrollo de plugins de ciberseguridad que abarcaba varios días ahora tarda aproximadamente una tarde. La reducción de la presión de la cola de pendientes ha mejorado los tiempos de respuesta a los clientes y ha liberado al equipo de ingeniería para centrarse en trabajos de mayor complejidad. Trellix planea ampliar las capacidades de Sidekick a socios externos y extender la automatización a flujos de trabajo de ingeniería adicionales a corto plazo.