Maltego e IA para investigación de seguridad: cómo estructurar el análisis de grafos sin perder el control
Hay una pregunta que separa a los equipos de seguridad maduros de los que apenas están empezando: ¿saben exactamente qué tipo de evidencia están mirando en cada momento? No es una pregunta trivial. En el contexto de la ciberseguridad moderna, mezclar un hecho verificado con una hipótesis generada por IA puede llevar a decisiones equivocadas con consecuencias reales.
Maltego es una plataforma de investigación basada en grafos que lleva años siendo usada por equipos Red y Blue Team en todo el mundo. Lo que la hace diferente de un escáner convencional no es la cantidad de datos que recolecta, sino la forma en que los representa: como una red de relaciones entre entidades, no como una lista plana de resultados. Y cuando se combina con inteligencia artificial de manera estructurada, el resultado puede ser poderoso. Pero también puede ser peligroso si no se hace bien.
En este artículo exploramos los conceptos clave del enfoque publicado por Mike Anderson en Dev.to el 13 de agosto de 2026, y conectamos esas ideas con lo que significa implementar capacidades de threat intelligence en empresas peruanas y latinoamericanas que están construyendo sus primeras operaciones de seguridad.
Por qué Maltego no es un escáner más
La mayoría de herramientas de seguridad responden a la pregunta: ¿qué está expuesto ahora mismo? Maltego responde a una pregunta diferente: ¿cómo están relacionados estos objetos, y qué tan fuerte es esa relación para justificar el siguiente paso de la investigación?
En Maltego, todo gira alrededor de tres conceptos fundamentales. Una Entidad es un nodo: puede ser un dominio, una dirección IP, una persona, una organización, un certificado o cualquier tipo de objeto relevante para la investigación. Un Enlace representa la relación entre dos entidades. Y un Transform es la operación que toma una entidad como entrada, consulta una fuente de datos, y devuelve entidades relacionadas.
Un ejemplo práctico: si empiezas con el dominio empresa.com, un Transform de DNS puede devolverte la IP 203.0.113.20. Desde esa IP, una relación de certificado puede revelar que comparte infraestructura con legacy-api.empresa.net, un subdominio que quizás el equipo de IT ya olvidó que existía. Ese tipo de pivote de investigación es exactamente donde Maltego brilla.
Las cuatro clases de evidencia: el marco que todo equipo necesita
Uno de los aportes más prácticos del artículo analizado es la propuesta de cuatro clases conceptuales de evidencia, diseñadas específicamente para evitar que los hallazgos del modelo de IA se confundan con datos verificados.
La primera clase es el Hecho Observado: información devuelta directamente por una fuente confiable o un sistema de recolección. La segunda es la Relación Derivada: producida por un Transform o una correlación determinista, es decir, matemáticamente reproducible. La tercera es la Evaluación del Analista: interpretación humana de la evidencia disponible. Y la cuarta, la más crítica en el contexto de IA, es la Hipótesis de IA: razonamiento generado por el modelo que todavía no ha sido validado de forma independiente.
¿Por qué esto importa tanto? Porque en una interfaz visual como Maltego, todos los nodos pueden verse iguales. Si un nodo que representa un hecho verificado y otro que representa una suposición del modelo tienen el mismo aspecto visual, el analista puede terminar tomando decisiones críticas basadas en información que nadie ha confirmado. En seguridad, ese error puede significar una respuesta a incidente mal dirigida, recursos desperdiciados, o peor, ignorar una amenaza real.
La arquitectura correcta para integrar IA con Maltego
El artículo describe dos patrones de integración. El primero, recomendado para equipos que están empezando, funciona así: el analista crea el grafo en Maltego, ejecuta los Transforms aprobados, exporta únicamente las relaciones relevantes en formato CSV o JSON, y ese archivo pasa por un harness en Python que realiza tres tareas críticas antes de enviar nada al modelo: verificar el alcance del caso, minimizar datos personales, y estructurar la evidencia con identificadores claros.
El modelo de IA recibe esa evidencia estructurada, genera hipótesis, y el analista decide qué hacer con ellas. El modelo nunca controla Maltego directamente. Esa separación no es una limitación técnica, es una decisión de diseño deliberada que hace el sistema auditable, predecible y seguro.
El segundo patrón, más avanzado, automatiza el puente convirtiendo la salida del modelo en un Transform de Maltego. Pero el autor es claro: primero hay que dominar el patrón A antes de aventurarse al patrón B.
¿Cómo aplica esto en empresas peruanas y latinoamericanas?
En Perú y América Latina, muchas empresas medianas están construyendo sus primeras capacidades de seguridad ofensiva y defensiva. El desafío no es solo técnico, es metodológico. Tener acceso a herramientas como Maltego es relativamente sencillo hoy en día. Lo difícil es construir procesos que sean reproducibles cuando el experto no está presente.
El marco de cuatro clases de evidencia que propone este artículo es exactamente el tipo de estructura que permite escalar un equipo de seguridad. Si cada analista sabe distinguir entre un hecho observado y una hipótesis de IA, la calidad de las investigaciones deja de depender de un solo individuo. Eso es madurez operacional.
Además, para empresas que manejan datos de clientes o infraestructura crítica, la trazabilidad de las decisiones de seguridad es cada vez más importante desde el punto de vista regulatorio. Tener evidencia documentada y clasificada no es solo buena práctica, en muchos contextos es un requisito.
¿Cómo aplica esto en tu empresa?
Si tu equipo está evaluando integrar herramientas de análisis de grafos o IA en sus operaciones de seguridad, estos son los pasos concretos para empezar con el pie derecho:
- Define primero qué preguntas quieres responder. Maltego no reemplaza un escáner de puertos. Si tu pregunta es qué está expuesto en este momento, usa la herramienta correcta para eso. Si tu pregunta es cómo están relacionados estos activos, Maltego es el camino.
- Adopta el marco de cuatro clases de evidencia desde el inicio. No esperes a tener un incidente real para definir cómo distingues hechos de hipótesis. Establece esa convención en tu equipo antes de necesitarla.
- Empieza con el patrón de integración más simple. Exportar grafos a JSON, procesarlos con un script en Python, y enviarlos al modelo es un flujo que cualquier desarrollador puede auditar y mantener. Es el punto de partida correcto.
- Valida siempre las hipótesis de IA antes de actuar. El modelo puede sugerir que dos dominios comparten infraestructura. Esa es una hipótesis hasta que tienes evidencia técnica que la respalde. Trátala como tal.
En Consultoría-Ti trabajamos con equipos técnicos en Perú y América Latina que están integrando IA en sus operaciones de TI. Si tu empresa está evaluando cómo estructurar este tipo de capacidades de manera segura y escalable, podemos ayudarte a diseñar el proceso correcto desde el inicio.
Conclusión
Maltego con IA no es magia. Es metodología. La diferencia entre una investigación de seguridad que produce resultados confiables y una que genera ruido está en cómo se clasifica la evidencia, cómo se controla el flujo de información hacia el modelo, y cómo el analista mantiene el control de cada decisión. Esos principios no son exclusivos de grandes corporaciones. Son aplicables hoy, con los recursos que tiene una empresa mediana en Perú o cualquier país de la región.
Si quieres explorar cómo implementar estas capacidades en tu organización de manera ordenada y sin perder el control del proceso, conversemos en Consultoría-Ti. Estamos aquí para ayudarte a construir sobre bases sólidas.
Fuentes y Referencias
✨ Contenido generado con ContentFlow — Consultoría-Ti