Los atacantes no se están volviendo más creativos—se están volviendo más rápidos

En septiembre de 2025, Anthropic reveló que había detectado y frustrado una operación de ciberespionaje atribuida a un grupo patrocinado por el Estado chino. La operación utilizó agentes de IA—instancias de Claude Code funcionando como orquestadores autónomos—para ejecutar aproximadamente el 80–90% del trabajo táctico en una campaña de intrusión dirigida a unas 30 entidades. Los operadores humanos solo intervinieron en algunos puntos críticos de decisión: aprobar la escalada de reconocimiento a explotación y decidir qué exfiltrar.

Conclusiones clave

1. La explotación de vulnerabilidades es ahora el principal vector de ataque—y la IA está acelerando los tiempos. IBM X-Force detectó que los ataques a aplicaciones expuestas al público aumentaron un 44%, con muchas vulnerabilidades explotadas que no requerían autenticación alguna.
2. Las plataformas de IA se han convertido en un ecosistema para el robo de credenciales. Más de 300,000 credenciales de ChatGPT aparecieron en la dark web en 2025, dando a los atacantes vías para manipular resultados, exfiltrar datos e inyectar prompts maliciosos.
3. Las brechas en la cadena de suministro casi se han cuadruplicado desde 2020, y las herramientas de IA serán las siguientes. Los atacantes explotan pipelines CI/CD, integraciones SaaS e identidades de desarrolladores de confianza—mientras que el 72% de las organizaciones ni siquiera pueden generar un inventario confiable de componentes de software.
4. Los grupos de ransomware aumentaron un 49% mientras que el 82% de las detecciones no involucran malware. Los atacantes operan con credenciales válidas y herramientas nativas, haciendo que los controles a nivel de datos sean la última línea de defensa efectiva.
5. La mayoría de las organizaciones carecen de controles básicos para gobernar el acceso a datos de IA. El 63% no puede imponer limitaciones de propósito a los agentes de IA, el 60% no puede terminar un agente que se comporta de forma anómala y solo el 43% cuenta con una puerta de enlace de datos IA centralizada.

Ese incidente fue un adelanto de la realidad operativa que el IBM X-Force Threat Intelligence Index 2026 ahora documenta a gran escala. La explotación de aplicaciones expuestas al público aumentó un 44% interanual. La explotación de vulnerabilidades desplazó al phishing y el robo de credenciales como el principal vector de acceso inicial, representando el 40% de los incidentes observados por X-Force en 2025. Muchas de esas vulnerabilidades explotadas no requerían autenticación alguna.

El hallazgo central del informe de IBM no es que los ataques sean más sofisticados. Es que son más rápidos. Las herramientas de IA ayudan a los atacantes a escanear, identificar y explotar debilidades en el tiempo que la mayoría de los equipos de seguridad tarda en analizar una alerta. El tiempo promedio de breakout de eCrime—acceso inicial hasta movimiento lateral—es ahora de 29 minutos, según el CrowdStrike 2026 Global Threat Report. El breakout más rápido observado: 27 segundos. A esa velocidad, la monitorización reactiva no es una estrategia. Es un informe post-incidente.

300,000 credenciales de IA en la dark web—y la mayoría de los equipos de seguridad no lo sabe

Los datos de IBM X-Force sobre el robo de credenciales de IA deberían preocupar a cualquier CISO con herramientas de IA en producción. Los operadores de malware infostealer ampliaron sus objetivos para incluir plataformas de chatbots de IA en 2025, lo que resultó en más de 300,000 credenciales de ChatGPT anunciadas en la dark web. El uso de contraseñas repetidas entre cuentas personales y empresariales convierte credenciales de bajo valor en rutas de acceso de alto valor a nivel empresarial.

Esto no es un riesgo hipotético. Las cuentas de chatbots de IA comprometidas crean vectores de ataque que van más allá de la simple apropiación de cuentas. Los atacantes con acceso a las credenciales de IA de un empleado pueden exfiltrar historiales de conversaciones con datos sensibles, manipular resultados de IA para influir en decisiones de negocio o inyectar prompts maliciosos que contaminen flujos de trabajo posteriores.

El 2026 DTEX/Ponemon Insider Threat Report encontró que la shadow AI es ahora el principal impulsor de incidentes internos negligentes, con un coste anual promedio de $19.5 millones. Y el 92% de las organizaciones afirma que la IA generativa ha cambiado la forma en que los empleados comparten información—pero solo el 13% ha integrado la IA en su estrategia de seguridad. Esa brecha de 79 puntos entre conciencia y acción es donde se concentra el daño.

El pronóstico de riesgos de seguridad y cumplimiento de datos de Kiteworks 2026 cuantifica el déficit de control: el 30% de las organizaciones señala la gestión de proveedores de IA de terceros como su principal preocupación de seguridad, pero solo el 36% tiene visibilidad sobre cómo esos proveedores gestionan los datos en sistemas de IA. El envenenamiento de datos de entrenamiento ocupa el segundo lugar entre las preocupaciones de seguridad de IA, pero solo el 22% cuenta con validación previa al entrenamiento. Las organizaciones se preocupan por riesgos que no pueden ver—y construyen sistemas de IA sobre pipelines de datos que no pueden auditar.

Los ataques a la cadena de suministro casi se cuadruplicaron—y la IA empeora la próxima ola

IBM X-Force rastreó un aumento casi cuatro veces mayor en brechas importantes de cadena de suministro y terceros desde 2020. Los atacantes están apuntando a los entornos donde se construye e implementa el software: pipelines CI/CD, registros de paquetes open-source, integraciones SaaS e identidades de desarrolladores de confianza. Un mantenedor de npm comprometido puede propagar el robo de credenciales a millones de usuarios. Un proveedor SaaS vulnerado puede pivotar hacia los entornos IAM de sus clientes.

El pronóstico de Kiteworks 2026 encontró que el 72% de las organizaciones no puede generar un inventario confiable de sus componentes de software y el 71% carece de monitoreo continuo de dependencias. Esas cifras ya son alarmantes para las cadenas de suministro de software tradicionales. Para las cadenas de suministro de IA—donde modelos, datos de entrenamiento, embeddings y resultados de inferencia fluyen entre organizaciones—la situación es peor. No existe un estándar para atestaciones de modelos de IA. Casi nadie rastrea la procedencia de los modelos.

El 2026 Black Kite Third-Party Breach Report documentó 136 eventos de brechas de terceros verificadas que afectaron a 719 víctimas identificadas y unas 26,000 empresas no identificadas, con una mediana de 73 días entre la brecha y la divulgación pública. Cuando los atacantes están dentro de los sistemas de tus socios durante más de dos meses antes de que alguien diga algo, las garantías contractuales y los cuestionarios a proveedores no son una estrategia de seguridad. Son un pasivo documental.

Las organizaciones que ejecutan cargas de trabajo de IA e intercambios de datos sensibles a través de infraestructuras heredadas de uso compartido y transferencia gestionada de archivos—basadas en protocolos de hace décadas, sin controles de acceso granulares, DLP en tiempo real o políticas conscientes de IA—están ampliando estos riesgos de cadena de suministro en vez de contenerlos.

109 grupos de ransomware, cero malware—por qué la capa de datos es la última línea

El informe de IBM X-Force documenta un ecosistema de ransomware cada vez más fragmentado. El número de grupos activos de extorsión aumentó de 73 en 2024 a 109 en 2025—un incremento del 49%. La cuota atribuida a los 10 principales grupos cayó un 25%, señalando que operadores más pequeños y oportunistas están entrando al mercado con barreras de entrada más bajas. Kits de herramientas filtrados, tácticas compartidas en foros clandestinos y automatización potenciada por IA facilitan más que nunca lanzar un ataque.

El hallazgo paralelo de CrowdStrike afina el panorama: el 82% de todas las detecciones en 2025 no involucraron malware. Los atacantes se apoyan en el abuso de identidades, herramientas legítimas y utilidades nativas del sistema para moverse por los entornos empresariales sin activar la detección en endpoints. Roban credenciales. Escalan privilegios. Buscan en plataformas cloud y SaaS datos regulados y propiedad intelectual.

Cuando el atacante nunca instala malware, la seguridad en endpoints por sí sola no puede detenerlo. Cuando operan con credenciales válidas, los controles perimetrales son irrelevantes. La defensa que sigue funcionando es la que los atacantes deben atravesar sin importar su técnica: la capa de datos. Si cada acceso a datos sensibles—ya sea por un usuario humano, un pipeline automatizado o un agente de IA—debe ser autenticado, autorizado según la política y registrado, el radio de acción de una identidad comprometida se reduce a los permisos que el motor de políticas otorga. No a los permisos a los que el atacante logra escalar.

La brecha de contención de IA: el 63% no puede imponer limitaciones de propósito a los agentes

Los hallazgos de IBM X-Force sobre ataques acelerados por IA chocan con una brecha de gobernanza que el pronóstico de Kiteworks 2026 expone en detalle. Las organizaciones están implementando agentes de IA que acceden a datos empresariales a gran escala—sin los controles de contención más básicos.

Las cifras son contundentes. El 63% de las organizaciones no puede imponer limitaciones de propósito a los agentes de IA—lo que significa que un agente autorizado para resumir un contrato podría consultar toda una base de datos de registros financieros. El 60% no puede terminar rápidamente un agente que se comporta de forma anómala. El 55% no puede aislar los sistemas de IA del acceso a la red más amplia. El 54% de los consejos directivos no participa en la gobernanza de IA. Solo el 43% cuenta con una puerta de enlace de datos IA centralizada.

El estudio «Agents of Chaos» de febrero de 2026—realizado por 20 investigadores de MIT, Harvard, Stanford, CMU y otras instituciones—documentó estos fallos de contención en entornos reales. Los agentes de IA convirtieron solicitudes de corta duración en procesos en segundo plano permanentes sin condición de terminación. Tomaron acciones irreversibles sin reconocer que excedían sus límites de competencia. No tenían un mecanismo confiable para distinguir entre usuarios autorizados y atacantes. El estudio confirmó que la inyección de prompts es una característica estructural de cómo los modelos de lenguaje procesan instrucciones—no un bug solucionable.

El World Economic Forum Global Cybersecurity Outlook 2026 reforzó esta tendencia, señalando que los agentes de IA pueden acumular privilegios excesivos, ser manipulados por fallos de diseño o inyecciones de prompts, y propagar errores a gran escala. Sin gobernanza a nivel de datos, los controles de contención más importantes—limitación de propósito, kill switches, aislamiento de red—dependen por completo del runtime de IA. Y como demuestra IBM X-Force, los runtimes se comprometen.

Cómo Kiteworks gobierna el acceso a datos de IA a nivel de arquitectura

Los datos de IBM X-Force construyen un argumento que la mayoría de las organizaciones ya percibe en sus operaciones de seguridad: la adopción de IA se acelera, las superficies de ataque se expanden y los controles existentes fueron diseñados para un panorama de amenazas previo a la IA. Cerrar esa brecha requiere gobernar la capa de datos—no el modelo, ni el runtime, ni el contrato con el proveedor.

Kiteworks lo logra a través de dos capacidades diseñadas para este fin. El servidor Kiteworks Secure MCP permite que asistentes de IA como Claude y Copilot interactúen de forma segura con datos empresariales mediante el estándar Model Context Protocol. Cada operación de IA se autentica vía OAuth 2.0, se autoriza en tiempo real según políticas RBAC y ABAC, y se registra en una pista de auditoría a prueba de manipulaciones. Las credenciales se almacenan en el llavero del sistema operativo—nunca se exponen al modelo de IA. El rate limiting impide la extracción masiva de datos incluso si un sistema de IA es comprometido.

La puerta de enlace de datos IA de Kiteworks proporciona un puente seguro para flujos de trabajo programáticos de IA, incluyendo pipelines RAG en producción. La puerta de enlace ofrece acceso a datos de IA de confianza cero: cada solicitud verificada, cada acceso a archivos evaluado por políticas, cada interacción rastreada y enviada al SIEM en tiempo real. Los sistemas de IA solo acceden a los datos que sus autorizaciones de política permiten—nada más.

Ambas capacidades alimentan la misma pista de auditoría unificada, brindando a los responsables de cumplimiento el paquete de evidencia que IBM, CrowdStrike y todos los marcos regulatorios ahora exigen: qué datos se accedieron, por qué sistema de IA, para qué usuario, en qué momento, bajo qué política. Cuando el auditor pregunte cómo controlas el acceso de IA a datos sensibles, la respuesta es un informe—no una investigación.

Qué deben hacer las organizaciones antes del próximo informe X-Force

Primero, mapea dónde los sistemas de IA acceden hoy a tus datos sensibles—no dónde crees que lo hacen. Los datos de IBM X-Force muestran que los atacantes explotan lo que las organizaciones no monitorean. El informe de Thales confirma que solo el 33% tiene conocimiento completo de dónde se almacenan sus datos. Si no sabes dónde viven tus datos, no puedes gobernar qué los toca.

Segundo, trata las credenciales de agentes de IA como infraestructura privilegiada. Las 300,000 credenciales de ChatGPT comprometidas que documentó IBM no son solo un problema de autenticación—son un vector de exfiltración de datos. Aplica la misma gobernanza de identidad a las herramientas de IA que a las cuentas de administrador: MFA, rotación de credenciales, monitoreo de sesiones y detección de anomalías en tiempo real.

Tercero, cierra la brecha de contención de IA antes de que los reguladores lo hagan por ti. El pronóstico de Kiteworks 2026 encontró que el 63% de las organizaciones carece de limitación de propósito para agentes de IA y el 60% carece de kill switches. Las disposiciones de alto riesgo de la Ley de IA de la UE serán plenamente exigibles en agosto de 2026. Incorpora limitaciones de propósito, controles de terminación y aislamiento de red en tu arquitectura de acceso a datos de IA desde ya.

Cuarto, extiende tus políticas de gobernanza de datos a cada interacción de IA—no solo a los usuarios humanos. HIPAA, PCI DSS, CMMC, SOX y GDPR no eximen a los agentes de IA. Un sistema de IA que accede a información de salud protegida, datos de tarjeta o información no clasificada controlada activa las mismas obligaciones de cumplimiento que un empleado humano. La arquitectura de gobernanza debe hacer cumplir esa equivalencia de forma automática.

Quinto, exige evidencia de calidad de auditoría de tus pipelines de datos de IA. Los datos de cadena de suministro de IBM X-Force y el retraso de divulgación de Black Kite dejan claro que las garantías de los proveedores no son evidencia. Las organizaciones necesitan registros auditables a prueba de manipulaciones que muestren exactamente qué accedió la IA, cuándo, bajo qué autorización y con qué resultado. Declarar cumplimiento ya no es suficiente—el control demostrable es el nuevo estándar.

El informe IBM X-Force 2026 documenta un panorama de amenazas donde la velocidad, el abuso de identidad y la explotación de la cadena de suministro definen las operaciones de los atacantes. La IA amplifica cada una de esas tendencias. Las organizaciones que construyan gobernanza a nivel de datos ahora—acceso a datos de IA de confianza cero, aplicación de políticas en tiempo real, pistas de auditoría unificadas—tendrán la ventaja competitiva y de cumplimiento. El resto aprenderá por las malas que la capa de datos es la última línea, y la dejaron sin protección.