La IA entra más rápido de lo que la seguridad puede seguirle el paso
La IA está entrando en las organizaciones a una velocidad sin precedentes, pero la seguridad no está evolucionando al mismo ritmo.» — Sam Curry, Director de Seguridad de la Información en Zscale
El estudio Mythos 2026 de Zscaler halla que ninguna de 38 organizaciones analizadas supera los 15 puntos sobre 100 en seguridad específica de IA
La IA entra más rápido de lo que la seguridad puede seguirle el paso
El estudio Mythos 2026 de Zscaler halla que ninguna de 38 organizaciones analizadas supera los 15 puntos sobre 100 en seguridad específica de IA
ORCID 0009-0005-3797-2596El estudio Mythos 2026, elaborado por Zscaler sobre 38 organizaciones de banca, sanidad, industria, energía y tecnología, ha puesto una cifra concreta a una sospecha que muchos equipos de seguridad ya tenían: la totalidad de las empresas analizadas mantiene expuestas sus herramientas corporativas de inteligencia artificial a posibles ataques externos. La puntuación media de seguridad específica para IA apenas alcanza los 10,5 puntos sobre 100, y ni siquiera la organización mejor preparada supera los 15. No se trata, por tanto, de casos aislados de mala configuración, sino de un problema estructural que atraviesa sectores muy distintos entre sí.
01La brecha entre adopción y gobernanza
Debemos entender que esta brecha no nace de una carencia tecnológica, sino de un problema de gobernanza. Según recoge el estudio, muchas de las aplicaciones de IA analizadas fueron desplegadas por departamentos de negocio o equipos de desarrollo al margen de los procesos habituales de revisión de ciberseguridad. En otras palabras, la IA generativa se ha incorporado a la operación diaria de las empresas por la vía rápida, y la función de seguridad se ha enterado después.
Esa secuencia, adopción primero y control después, es precisamente la que produce chatbots corporativos, interfaces Model Context Protocol (MCP) y APIs de inferencia accesibles desde internet sin mecanismos de autenticación ni verificación de identidad. Cada uno de esos puntos se convierte en una puerta de entrada que los ciberdelincuentes pueden identificar y explotar sin mayor esfuerzo.
02La IA como nuevo perímetro, no como herramienta aparte
Notemos la analogía que se desprende del propio estudio: una interfaz de IA sin autenticación expuesta a internet no es distinta, en términos de riesgo, de un servidor de producción sin cortafuegos. Sin embargo, mientras que ninguna organización dejaría un servidor así a la vista de cualquiera, sí lo hace con sus asistentes virtuales y copilotos, porque todavía se los concibe como herramientas de productividad y no como infraestructura crítica.
La consecuencia práctica es que la IA debe gestionarse bajo los mismos principios de seguridad que cualquier otro activo corporativo: visibilidad, autenticación, control de identidades e inspección del tráfico.
«La IA está entrando en las organizaciones a una velocidad sin precedentes, pero la seguridad no está evolucionando al mismo ritmo.» — Sam Curry, Director de Seguridad de la Información en Zscaler
03Un riesgo que pesa más en sectores regulados
Conviene resaltar que el estudio no analizó empresas cualquiera, sino organizaciones de banca, sanidad, industria y energía, es decir, sectores sometidos a marcos regulatorios exigentes en materia de continuidad operativa y protección de datos. En ese contexto, una puntuación media de 10,5 sobre 100 no es solo una debilidad técnica, sino una exposición regulatoria: la brecha entre lo que exige la normativa sectorial y lo que efectivamente protegen estas organizaciones en sus entornos de IA es considerable.
Las herramientas de IA se despliegan sin pasar por los controles habituales de ciberseguridad. De ahí se deriva el riesgo de accesos no autorizados a través de chatbots, interfaces MCP y APIs de inferencia expuestas, con impacto simultáneo sobre el negocio, la reputación y el cumplimiento normativo en sectores ya vigilados por sus reguladores.
04Recomendaciones
De lo anterior se desprenden algunas líneas de acción concretas para las organizaciones que estén adoptando IA generativa sin haber revisado aún su exposición:
Elaborar un inventario completo de los activos de IA desplegados, incluidos los incorporados por áreas de negocio fuera del circuito habitual de TI; exigir autenticación y verificación de identidad en todo chatbot, interfaz MCP o API de inferencia accesible desde internet; incorporar la revisión de ciberseguridad como paso obligatorio antes de desplegar cualquier nueva herramienta de IA, y no como una auditoría posterior; y extender las políticas de inspección de tráfico y gobernanza ya existentes para infraestructura tradicional a los entornos de IA.
En síntesis, la gobernanza de la IA debe convertirse en una prioridad desde el primer momento en que se adopta la tecnología, y no una vez que se ha producido una brecha de seguridad. Las organizaciones que traten sus activos de IA con el mismo rigor que su infraestructura crítica estarán mejor posicionadas frente a un adversario que ya ha aprendido a buscar, precisamente, las puertas que nadie cerró con llave.
Revista Byte TI, «La carrera por adoptar IA abre nuevas puertas a los ciberdelincuentes» (27/08/2026). revistabyte.es/actualidad-it/adoptar-ia-brechas-de-seguridad
Autor / Redactor / Director
