Zabbix e Inteligencia Artificial: Una guía básica para una monitorización más inteligente.

Tras años trabajando en la monitorización de infraestructuras, podemos afirmar que el mayor problema para las empresas ya no es la falta de datos, sino el exceso de alertas sin utilidad real, algo que ahora se puede solucionar con Zabbix y la inteligencia artificial.

Los umbrales fijos, como «CPU por encima del 80 % = problema», funcionan en entornos sencillos y predecibles. Pero la práctica nos demuestra que un lunes por la mañana se comporta de forma completamente diferente a un domingo por la noche, y ningún valor estático por sí solo puede reflejar esa diferencia.

En este sentido, hemos estado siguiendo varios proyectos que exploran la combinación de Zabbix e inteligencia artificial para la gestión de alertas y la optimización de rutinas para el equipo de monitorización. Y lo que encontramos en común entre todos ellos es que sí, es posible mejorar las capacidades de Zabbix y facilitar la gestión con IA.

La cuestión es cómo hacerlo de forma segura y eficiente, y de eso vamos a hablar aquí.

La monitorización reactiva en Zabbix ya no es suficiente

El enfoque de monitorización tradicional es esencialmente reactivo.

Se establecen límites, el sistema se activa cuando se superan y el equipo responde. El problema es que los entornos modernos son dinámicos, el tráfico de las aplicaciones crece de forma orgánica, las cargas de trabajo migran, los patrones cambian y la reactividad ya no es una opción.

Algunos estudios que utilizan Zabbix en entornos corporativos han identificado un problema estructural en este enfoque, donde los sistemas basados ​​en reglas estáticas a menudo no logran detectar problemas sutiles o emergentes, generando tanto falsos positivos como incidentes no detectados, lo que conduce a la conocida fatiga por exceso de alertas.

La integración del aprendizaje automático en la monitorización surge como respuesta directa a esta limitación. En lugar de comparar un valor actual con un número fijo, los algoritmos de aprendizaje automático analizan patrones históricos e identifican anomalías en el contexto de ese entorno específico.

Lo que Zabbix ofrece de forma nativa con el aprendizaje automático

Antes de hablar de integraciones externas, es importante comprender lo que Zabbix ya ofrece, porque mucha gente aún desconoce que cuenta con funciones de aprendizaje automático integradas desde la versión 6.0.

Monitorización de referencia con baselinewma y baselinedev

Disponibles desde Zabbix 6.0 LTS y totalmente compatibles con la versión 7.0 y posteriores, estas funciones permiten crear triggers con thresholds dinámicos basados ​​en el historial real del entorno:

• `baselinewma`: calcula la línea base utilizando un promedio ponderado de periodos equivalentes (estacionalidad). Por ejemplo, compara el uso de la CPU de este lunes con los datos de las últimas 4 semanas en el mismo intervalo de tiempo.
• `baselinedev`: devuelve cuántas desviaciones estándar se encuentra el valor actual con respecto a la línea base calculada.

En la práctica, si configura un trigger como: «si el uso promedio de memoria de las últimas 8 horas es 2 veces mayor que el valor de referencia de las últimas 4 semanas, con periodicidad semanal, active una alerta», sin definir ningún número absoluto, Zabbix aprende el comportamiento esperado y emite alertas cuando algo se desvía de ese patrón.

Detección de anomalías con trendstl()

Introduzida no Zabbix 6.0 e mantida no 7.0+, a função trendstl() usa decomposição de séries temporais (STL, ou Seasonal and Trend decomposition using Loess) para separar os dados em três componentes: tendência, sazonalidade e resíduo. A detecção de anomalia trabalha sobre o resíduo, identificando valores que se afastam significativamente do comportamento normal.

La documentación oficial de Zabbix describe un caso de uso a modo de ejemplo: un sitio web cuyo tráfico crece de forma orgánica a lo largo del año, lo que hace que un umbral fijo resulte inútil. La función trendstl() se adapta al crecimiento orgánico y detecta picos anormales causados ​​por eventos como ataques DDoS, independientemente del volumen absoluto de tráfico.

Las principales herramientas de inteligencia artificial del mercado y cómo conectarlas a Zabbix

A partir de Zabbix 7.0, la API REST y el sistema de webhooks son lo suficientemente maduros como para integrar cualquier modelo de lenguaje accesible mediante API. La comunidad ya lo ha probado exhaustivamente, como se puede observar en foros, redes sociales, estudios de caso en el blog de Zabbix y otras fuentes en línea.

A continuación, presentamos un mapa de lo que existe y funciona.

1. OpenAI GPT-4 y versiones más recientes vía webhook JavaScript nativo

Esta es la integración mejor documentada en el ecosistema de Zabbix. Cuando se activa un trigger, Zabbix ejecuta un webhook de JavaScript que envía el contexto del incidente (host, métrica, valores históricos, gravedad) directamente al endpoint de la API de OpenAI.

El modelo recibe el contexto y devuelve: posibles causas del problema, comandos de depuración recomendados, medidas de mitigación e historial correlacionado. Todo esto se presenta como un comentario automático en el evento de Zabbix, sin que el analista tenga que abrir ninguna herramienta externa.

Sin embargo, tenga en cuenta: asegúrese de que el playload enviada a la API no incluya datos confidenciales de la empresa, como direcciones IP internas o nombres/credenciales de sistemas críticos.

2. Google Gemini via widget nativo y análisis contextual

Google Gemini se integra directamente con Zabbix, incluyendo un widget personalizado para el panel de control.

La integración utiliza la API de Google AI Studio y permite:

• Crea un script global en Zabbix que, al ejecutarse en una incidencia activa, envíe el contexto a Gemini y muestre el análisis directamente en la interfaz.
• Crea un widget de panel de control que funcione como asistente conversacional conectado al entorno monitorizado.
• Intégralo mediante la CLI de Gemini utilizando el protocolo MCP (Protocolo de Contexto de Modelo) para realizar consultas en lenguaje natural sobre el estado de la infraestructura.

Un ejemplo publicado en el blog de Zabbix muestra cómo Gemini responde automáticamente a una consulta a las 3 de la mañana: «14 hosts activos, 0 problemas críticos. El host proxmox-desenvolvimento tuvo un reinicio programado durante el fin de semana que se completó con éxito. Uso promedio de CPU del 23 %.», sin que ningún analista tuviera que iniciar sesión.

3. Claude (Anthropic) — via MCP Server para Zabbix

El Protocolo de Contexto de Modelo (MCP), desarrollado por Anthropic, resuelve un problema estructural en las integraciones de IA. Antes de su implementación, cada integración de Zabbix con IA requería un script personalizado escrito desde cero, y cambiar de proveedor de IA implicaba empezar de nuevo.

Con MCP, solo se implementa un servidor una vez, y cualquier cliente compatible puede consumir datos de Zabbix a través de él. El servidor más completo disponible actualmente es *zabbix-mcp-server* de initMAX, que expone los 58 grupos de API de Zabbix (más de 220 herramientas). Al conectarlo a Claude Desktop, se pueden realizar consultas en lenguaje natural:

• Mostrar todos los problemas no reconocidos con una gravedad alta o superior;
• Crear una ventana de mantenimiento para el host db-01 durante 2 horas;
• ¿Qué ha cambiado en las últimas 24 horas? (mediante el registro de auditoría).

El servidor admite las versiones 5.0 y posteriores de Zabbix, funciona en modo de solo lectura por defecto e incluye autenticación mediante bearer token, allowlist de IPs, TLS y rate limiting.

• Nota: Exponer las aproximadamente 232 herramientas de MCP sin filtrar consume más de 100 000 tokens solo en la carga inicial del contexto. Filtre por grupos relevantes para su caso de uso (hosts, problemas, activadores, eventos, elementos) para evitar un consumo excesivo en Claude.

4. Ollama + modelos open source para privacidad total, sin coste de API

Para entornos donde los datos de infraestructura no pueden salir de la red corporativa, Ollama es la alternativa más viable.

Permite ejecutar modelos como Llama 3.2, Mistral 7B y Qwen directamente en servidores locales, sin necesidad de realizar llamadas a API externas.

La arquitectura, en general, considera tres herramientas en conjunto:

• Zabbix: genera la alerta y la envía mediante webhook.
• n8n: orquesta el flujo y realiza la llamada al LLM local.
• Ollama: procesa el contexto y devuelve el análisis.

Como resultado, el analista recibe una explicación generada por el LLM directamente en Zabbix (a través de event.acknowledge), que incluye la posible causa raíz, la salida de los comandos de diagnóstico y las recomendaciones de actuación, todo ello sin enviar un solo byte fuera de la red.

• Nota sobre las limitaciones: Los modelos locales más pequeños tienen más dificultades con el razonamiento encadenado en los datos de Zabbix. Modelos como Llama 3.1 70B o Qwen 2.5 suelen tener un mejor rendimiento en este tipo de tareas.

5. Fluxo integrado coN n8n orquestar múltiples IA

n8n, una plataforma de automatización de código abierto, se ha convertido en un conector popular entre Zabbix y los proveedores de IA, ya que permite flujos de trabajo visuales sin depender de una única API. Existen integraciones nativas en n8n.io para OpenAI + Zabbix y Claude + Zabbix.

Un flujo típico publicado por la comunidad funciona de la siguiente manera:

• Zabbix detecta una anomalía mediante `trendstl()` y activa un webhook en n8n.
• n8n busca el SOP relevante en una base de conocimiento (Notion, Confluence, etc.).
• n8n ejecuta el comando de diagnóstico en el host afectado mediante SSH o API.
• La salida sin procesar se envía al LLM (OpenAI, Gemini u Ollama) con el SOP como contexto.
• El LLM genera un análisis en lenguaje natural: causa raíz, estado y próximos pasos.
• n8n publica el análisis en Zabbix mediante una confirmación y notifica al equipo de SRE en Slack.

Reducción del ruido en Zabbix mediante correlación y supresión de alertas.

Una de las principales ventajas de combinar Zabbix e IA es la reducción del ruido operativo, algo especialmente importante en entornos a gran escala. Un solo fallo puede generar cientos de alertas simultáneas para todos los hosts dependientes.

Zabbix 7.0 ya cuenta con mecanismos nativos para abordar este problema, como el mantenimiento programado, las dependencias de host y la supresión de problemas. Para correlaciones más complejas, la integración con Wazuh, ELK Stack o plataformas SIEM permite cruzar datos de múltiples fuentes e identificar la causa raíz antes de notificar a nadie.

La lógica que buscamos es la siguiente: en lugar de recibir 200 alertas sobre hosts inaccesibles, queremos recibir una sola alerta que diga: «El switch X se ha caído, 200 hosts afectados, causa probable: fallo de enlace en el segmento Y».

Qué no hacer al integrar Zabbix con IA

Sabemos que las herramientas de IA están diseñadas para ayudar, como sugiere esa premisa fundamental sobre la tecnología. Pero eso no significa ignorar las prácticas y el conocimiento históricos para simplemente seguir lo que propone la inteligencia artificial.

A continuación, presentamos 3 lecciones clave sobre lo que no se debe hacer al usar Zabbix con IA:

• No utilice la IA para reemplazar las buenas prácticas de configuración: si sus plantillas tienen umbrales mal calibrados, ningún modelo lo solucionará. La IA amplifica lo que ya tiene, pero si la base es deficiente, los resultados también lo serán.
• No envíe datos sin procesar ni filtrar a API externas: al integrar Zabbix con OpenAI, Gemini o cualquier sistema LLM en la nube, revise la carga útil. Las direcciones IP internas, la topología de red y los nombres de sistemas críticos no deben salir de su entorno sin una política de privacidad clara.
• No espere que la monitorización de referencia funcione sin un historial suficiente: las funciones baselinewma y trendstl() necesitan datos históricos consistentes. En entornos nuevos, su calibración puede tardar semanas.

¿Por dónde empezar?

Si utilizas Zabbix versión 7.0 o posterior, o si planeas migrar a la versión 8.0, estas son las acciones que debes realizar, en orden de complejidad creciente, para lograr una monitorización más inteligente y sencilla:

• Active la monitorización de referencia en los disparadores de las métricas más críticas, sin integración externa. Comience con baselinewma en la CPU y la memoria de los hosts más importantes;
• Cree un webhook para Google Gemini u OpenAI para el análisis de alertas contextuales. La documentación para usar la API de Zabbix está disponible aquí;
• Explore initMAX zabbix-mcp-server si desea conectar Claude Desktop o Gemini CLI a su instancia mediante lenguaje natural;
• Evalúe Ollama si la privacidad de los datos es un requisito indispensable. La inversión en hardware local se justifica en entornos regulados.
• Cree un flujo con n8n cuando desee orquestar múltiples IA y automatizar las correcciones con supervisión humana.

Crear monitorización inteligente con Zabbix es posible, y muchos miembros de la comunidad Zabbix ya utilizan inteligencia artificial para optimizar sus flujos de trabajo. La pregunta ya no es si vale la pena, sino por dónde empezar de forma práctica.

¿Tienes dudas sobre la aplicación de la IA en el entorno de tu empresa? Contacta con nuestro equipo; estamos disponibles para evaluar las necesidades de tu empresa y sugerirte las mejores soluciones de monitorización.

Victor Breda Credidio

Technical Support Engineer at Zabbix

Prev Post