# ¿Qué le sucedió al modelo de "recolector tonto" de la industria de la seguridad?

**Respuesta breve:** Durante años, los proveedores aconsejaron que el procesamiento local en el endpoint estaba obsoleto e impulsaron agentes ligeros que reenvían telemetría sin procesar a la analítica en la nube. Los ataques modernos en memoria contra bibliotecas centrales del sistema operativo han dejado al descubierto ese modelo: los agentes siguen ejecutándose, pero quedan efectivamente ciegos y mudos.

## Por qué se adoptó el modelo

Era más barato de construir. La ingeniería a nivel de kernel es difícil y costosa; enviar la telemetría a la nube permitía a los proveedores distribuir software de endpoint económico, monetizar grandes reservas de almacenamiento en la nube y comercializar capacidades de IA en la nube. El modelo se optimizó para la economía del desarrollo, no para la defensa.

## Por qué está fallando ahora

Estos agentes dependen por completo de componentes nativos del sistema operativo para funcionar y recopilar datos. Cuando los atacantes comprometen esos componentes en memoria, el agente no se bloquea; sigue ejecutándose y no reporta nada, dejando un panel de control que indica que todo está bien mientras se exfiltran los datos.

También existe una interdicción deliberada documentada: atacantes, y en algunos casos verificados competidores que buscan ocultar sus propias deficiencias, explotan activamente estas dependencias de bibliotecas para forzar la terminación o sabotear las defensas del endpoint.

## El callejón sin salida arquitectónico

Corregir esto exigiría que los proveedores heredados abandonen las canalizaciones de telemetría orientadas a la nube y reconstruyan para la computación local a nivel de kernel en el borde ("edge computing"), un esfuerzo de varios años. Las adquisiciones recientes y la inversión de capital de riesgo muestran que la industria avanza aún más hacia la analítica en la nube y los lagos de datos centralizados, en lugar de hacerlo en la dirección contraria.