La Encuesta SANS sobre IA 2026: Por qué los ataques potenciados por IA aún necesitan un analista humano escéptico
Este año, los equipos de seguridad delegaron una parte creciente de su carga laboral diaria a la IA generativa, y las herramientas fallaron con la suficiente frecuencia como para que los profesionales lo notaran. La Encuesta SANS AI 2026, realizada a 536 profesionales de TI y seguridad, pone cifras a ambos lados de esa ecuación: la adopción aumenta, la fiabilidad no la acompaña, y los profesionales más cercanos al problema llegan a una respuesta antigua para una pregunta nueva: un humano capacitado y escéptico sigue detectando lo que el modelo pasa por alto.
La encuesta llega en un momento de inflexión. La IA generativa pasó de proyectos piloto a un uso diario en los centros de operaciones de seguridad en aproximadamente un año, asumiendo tareas como la clasificación de registros, la síntesis de alertas, la priorización de vulnerabilidades y la redacción de informes de incidentes.
Al mismo tiempo, el 78% de las organizaciones reportaron ataques potenciados por IA, menos de la mitad confirmados mediante pruebas forenses y el resto aún en la categoría de sospechosos. Kiteworks observa la misma tensión en los entornos de datos empresariales: cuanto más rápido adoptan IA las organizaciones, más expuestas quedan a flujos de datos no gobernados, contenido no verificado que llega a los modelos y decisiones tomadas en base a contextos que nadie revisó. Los hallazgos de SANS describen la versión de operaciones de seguridad de ese mismo problema.
Lo que la encuesta midió, y lo que un profesional de respuesta a incidentes contó a Help Net Security sobre su aplicación bajo presión, apunta a una pregunta que ahora enfrentan todos los equipos de seguridad y gobernanza de datos: ¿cómo calibras la confianza en una herramienta que suele acertar, pero a veces, con seguridad, se equivoca?
El intercambio seguro de datos de Kiteworks aborda una parte relacionada pero distinta de ese problema. Cuando los sistemas de IA —copilotos SOC o agentes autónomos— procesan contenido confidencial, alguien debe haber verificado ese contenido primero, controlado quién y qué puede acceder a él, y registrado toda la cadena, en vez de asumir que es confiable.
Aspectos clave
1. La adopción de IA en operaciones de seguridad se disparó, pero la confianza no avanzó al mismo ritmo.
El uso activo de IA generativa entre profesionales de seguridad alcanzó el 78% en 2026, frente a aproximadamente la mitad del sector un año antes, mientras que el 63% ahora reporta deficiencias significativas en la detección y respuesta a amenazas impulsadas por IA.
2. Los ataques potenciados por IA ya afectan a la mayoría de las organizaciones.
La Encuesta SANS AI 2026 encontró que el 78% de las organizaciones detectaron ataques potenciados por IA en el último año, con un 45% confirmados y otro 33% sospechosos pero no comprobados.
3. Dos tercios de los profesionales han sido engañados por indicaciones de IA al menos una vez en el último año.
El nueve por ciento dijo que ocurrió más de veinte veces, recordatorio de cuán frecuente es que una respuesta de IA, aunque suene segura, sea incorrecta.
4. La velocidad del atacante, no su sofisticación, es lo que reduce el tiempo de respuesta del defensor.
Las intrusiones asistidas por IA pueden pasar del acceso inicial al movimiento lateral en minutos, eliminando el tiempo de permanencia que sustentan los umbrales de detección y las rotaciones de guardia.
5. Los profesionales valoran más los controles centrados en humanos que las herramientas específicas de IA para detener amenazas potenciadas por IA.
La detección basada en comportamiento, la capacitación en concienciación de seguridad, la revisión por analistas humanos y la arquitectura de confianza cero superan en el ranking de efectividad a las defensas especializadas de IA según la encuesta.
Confías en que tu organización es segura. Pero ¿puedes verificarlo?
Léelo ahora
La adopción supera la fiabilidad: la brecha de confianza que los equipos de seguridad no pueden ignorar
La cifra de adopción es contundente por sí sola. El uso activo de IA generativa en ciberseguridad llegó al 78% de los profesionales en 2026, frente a aproximadamente la mitad un año antes. En términos prácticos, esto significa que la mayoría de los equipos de seguridad ahora ejecutan parte de su flujo de trabajo diario a través de una capa de IA, ya sea un copiloto que resume la cola de alertas, un modelo que puntúa la gravedad de vulnerabilidades o un asistente que redacta el primer borrador de un informe de incidente.
La fiabilidad no acompañó ese crecimiento. El 63% de los profesionales reporta deficiencias importantes cuando la IA detecta o responde a amenazas, una proporción muy superior a la del año anterior. Los fallos no son aleatorios: se agrupan en tres patrones recurrentes: falsos positivos que hacen perder tiempo a los analistas, dificultad para reconocer amenazas nuevas o desconocidas que no coinciden con los datos de entrenamiento, y respuestas entregadas con seguridad que resultan ser simplemente erróneas.
Matt Bromiley, instructor certificado de SANS y profesional de respuesta a incidentes, describió dónde los profesionales han aprendido a marcar el límite. «Nuestros datos muestran que los profesionales se sienten cómodos dejando que la IA clasifique amenazas o priorice vulnerabilidades, y mucho menos cómodos permitiendo que confirme un positivo real o juzgue anomalías de comportamiento», dijo a Help Net Security.
Esa distinción es importante: separa tareas con un gran corpus de entrenamiento bien etiquetado de decisiones que dependen de un contexto al que un modelo de IA rara vez tiene acceso completo. «Estas herramientas demuestran que son buenas en problemas estructurados y débiles en decisiones novedosas y dependientes del contexto», dijo Bromiley. «Desarrollas el instinto aprendiendo el perfil de fallos de una herramienta y verificando en proporción a lo que cuesta equivocarse».
Ese instinto —saber cuándo confiar en la confianza de un modelo y cuándo comprobarlo— es precisamente la habilidad que la encuesta sugiere que la industria no ha escalado lo suficientemente rápido. La adopción superó la capacitación en concienciación de seguridad y el análisis de riesgos necesarios para usar estas herramientas de forma segura, y la brecha se refleja directamente en las cifras de desinformación que se muestran a continuación.
Cuando la guía de IA desinforma: el coste de las respuestas erróneas pero seguras
Un encuestado comparó trabajar con herramientas de IA con gestionar a un becario digital: útil, a veces brillante, pero que requiere una segunda revisión antes de que algo salga a producción. Bromiley se identificó con esa postura. «No puedo estar más de acuerdo con esto: ‘mide dos veces, corta una'», dijo. «Desafortunadamente, la mayoría de los equipos no están preparados para desarrollar ese instinto».
La magnitud del problema respalda la metáfora. Dos tercios de los profesionales han sido desinformados por la IA al menos una vez en el último año, y el 9% dijo que sucedió más de veinte veces. Esto no significa que la IA no sea útil. Significa que se equivoca con suficiente frecuencia y seguridad como para que la verificación deba integrarse en el flujo de trabajo, no dejarse al criterio individual.
Las respuestas erróneas pero seguras son especialmente peligrosas en operaciones de seguridad porque el coste de actuar en base a ellas no es simétrico. Un falso positivo hace perder una hora. Un positivo real no detectado, confirmado como benigno por un sistema de IA que nadie revisó, puede dejar una intrusión activa durante días. La exposición resultante a una brecha de datos —especialmente para organizaciones que gestionan PII, PHI o registros financieros regulados— agrava el fallo de seguridad con obligaciones regulatorias de notificación y remediación que siguen su propio calendario.
Parte del problema subyacente es la procedencia de los datos: los modelos generan respuestas seguras a partir del contexto que se les proporciona, y si ese contexto está incompleto, desactualizado o proviene de fuentes no verificadas, la respuesta parece igual de autorizada que si viniera de datos limpios. Aquí es donde las prácticas de gobernanza de datos y registros de auditoría se cruzan con la fiabilidad de la IA: un analista puede calibrar mejor la confianza en la salida de un modelo cuando puede rastrear exactamente qué datos vio el modelo y confirmar que nada en esa cadena fue manipulado, mal clasificado o simplemente incorrecto desde el principio. Cuando esa trazabilidad no existe, los equipos solo pueden calibrar la confianza en la salida, sin forma de comprobar la entrada.
El argumento de Bromiley sobre la formación amplía este punto. «Como instructor, puedo afirmar que el aula hace más de lo que la gente cree», dijo. «Puedes enseñar modos de fallo, instrumentación, qué verificar antes de actuar y cómo ejecutar un sistema en paralelo el tiempo suficiente para ver dónde se desvía. Lo que no se puede enseñar en una charla es la calibración, es decir, cuánta duda merece una salida determinada. Una buena formación solo comprime esas repeticiones en un entorno donde equivocarse es barato». La formación construye la lista de comprobación. Solo la experiencia —idealmente supervisada y de bajo riesgo— desarrolla el criterio para aplicarla bajo presión.
La línea de tiempo comprimida: cómo los ataques asistidos por IA eliminan el tiempo de permanencia del defensor
El lado ofensivo de la encuesta pone fecha límite a todo esto. Bromiley describió un incidente donde el factor determinante no fue la técnica del atacante, sino el ritmo. «Trabajé en uno donde el ritmo fue lo que nos tomó por sorpresa», dijo.
La intrusión comenzó como un fallo en la gestión de riesgos de la cadena de suministro: un paquete malicioso comprometido a través de la cadena de suministro de software dio al atacante acceso dentro de un entorno de software confiable. Desde ahí, la intrusión pasó del reconocimiento interno al movimiento lateral en cuestión de minutos, con el adversario desplegando scripts en rápida sucesión. «El ritmo se sintió rápido —el adversario también traía scripts claramente comentados y con buenas instrucciones paso a paso, características típicas de un ‘script desarrollado por IA amigable'», comentó Bromiley.
Fue cuidadoso con esa interpretación. «Sería prudente con la atribución. Evaluamos esos scripts como probablemente generados por IA por su estructura y la velocidad de iteración, no porque tuviéramos pruebas», dijo.
Esa distinción coincide con la forma en que la encuesta enmarca los números: del 78% de organizaciones que reportan ataques potenciados por IA, el 45% lo confirmó con pruebas y el 33% solo lo sospechó.
El caso de Bromiley está en el segundo grupo: una inferencia razonable, no una certeza forense, y los autores de la encuesta son explícitos en mantener esa línea clara.
Lo que quiere que los defensores interioricen no es la cuestión de la atribución, sino la matemática. «Lo que cambió fue el ritmo. El paso de reconocimiento a movimiento lateral normalmente da tiempo a los defensores porque es lento y manual. Aquí, dio muy poco tiempo», dijo Bromiley. «Los umbrales de detección y las rotaciones de guardia asumen cierta permanencia del atacante, y esa suposición es la que se comprime».
El reconocimiento y el movimiento lateral suelen ser la etapa más lenta y manual de una intrusión, y el retraso que introduce es la ventana que un equipo de seguridad suele aprovechar para reaccionar. Si eliminas ese retraso, el margen de error desaparece.
Las amenazas persistentes avanzadas basadas en herramientas asistidas por IA no necesitan una técnica novedosa para ser peligrosas: solo necesitan moverse más rápido de lo que el proceso de respuesta fue diseñado para manejar. Una plataforma SIEM que ingiere telemetría de egreso y movimiento lateral en tiempo real es la capa de detección que convierte el tiempo de permanencia comprimido de una desventaja de velocidad insalvable en una señal visible y alertable.
En qué confían los profesionales: detección conductual, revisión humana y confianza cero
Al analizar el incidente, Bromiley enumeró lo que el equipo hubiera querido tener antes de la primera alerta. «Querían un inventario preciso de su cadena de suministro de software, registros de egreso que hicieran visible la etapa de reconocimiento en tiempo real y cuentas de servicio limitadas para que el acceso inicial no pudiera llegar tan lejos, lo que coincide con los resultados de la encuesta», dijo.
Estas tres prioridades se alinean directamente con lo que la encuesta halló al preguntar a los profesionales qué controles consideran más confiables contra amenazas potenciadas por IA. La detección conductual, la capacitación en concienciación de seguridad, la revisión por analistas humanos y la arquitectura de confianza cero ocupan los primeros puestos. Las herramientas especializadas de IA quedan en último lugar. «La detección conductual funciona porque observa lo que hace un atacante, no lo que escribió el script», explicó Bromiley. «La velocidad no requiere una contramedida novedosa; simplemente elimina el margen que permite a los equipos improvisar cuando falta una».
El patrón es consistente: los defensores confían en controles que limitan lo que un atacante —humano o asistido por IA— puede realmente hacer dentro de un entorno, más que en controles que intentan superar analíticamente las herramientas del atacante.
Un modelo de controles de acceso basado en privilegios mínimos y control de acceso basado en roles limita hasta dónde puede llegar una cuenta de servicio comprometida, sin importar la velocidad del atacante. El control de acceso basado en atributos (ABAC) añade una capa de conciencia contextual que RBAC por sí solo no puede proporcionar: decisiones de acceso que evalúan simultáneamente la sensibilidad del contenido, el rol del usuario y la postura del dispositivo en cada solicitud, de modo que una cuenta comprometida operando fuera de su perfil habitual activa un bloqueo de política en lugar de heredar todos sus permisos.
Las prácticas de gestión de riesgos de terceros que mantienen un inventario preciso de la cadena de suministro de software cierran exactamente la brecha que permitió la entrada inadvertida del paquete malicioso de Bromiley. Ninguna de estas son defensas específicas de IA. Son controles de seguridad fundamentales que funcionan tanto si el atacante es una persona como si es un script.
Construyendo escepticismo calibrado: formación, gobernanza y el humano en el circuito
El hallazgo central de la encuesta, en resumen, es que la industria tiene un problema de calibración, no de inteligencia. Los sistemas de IA son lo suficientemente buenos para confiarles tareas estructuradas y bien delimitadas, pero aún no lo suficiente para confiarles decisiones que dependen de contexto completo. Los profesionales que navegan bien esta situación no son los que evitan la IA, sino quienes han aprendido, muchas veces por experiencia, qué salidas necesitan una segunda revisión y cuáles no.
Esa calibración no ocurre en el vacío. Depende de que el analista pueda ver lo que vio la IA: qué datos alimentaron el modelo, si esos datos eran actuales y verificados, y quién más los manipuló antes de que el modelo los procesara.
Aquí es donde la gobernanza deja de ser un ejercicio de cumplimiento y se convierte en una herramienta de fiabilidad. La gobernanza de datos de IA que aplica políticas en el punto en que el contenido llega al modelo —en vez de después— reduce la probabilidad de que un sistema de IA genere una respuesta segura a partir de datos obsoletos, no autorizados o manipulados desde el inicio.
La clasificación de datos aplicada al contenido al que pueden acceder los sistemas de IA es el control previo necesario: una capa de gobernanza no puede aplicar políticas de acceso diferenciadas a datos que no ha categorizado. Kiteworks Compliant AI aplica este tipo de control en el límite entre los datos y la IA. Filtra y gobierna el contenido al que pueden acceder los sistemas generativos y agentes, de modo que la respuesta que ve el analista se basa en contenido realmente verificado, no en lo que el modelo encontró al azar.
El mismo principio se aplica a la IA agente. A medida que los equipos de seguridad empiezan a conectar agentes de IA directamente a sistemas internos y almacenes de datos mediante protocolos como MCP, el reto de calibración que describe Bromiley no desaparece, sino que se multiplica, porque un agente actuando sobre un contexto erróneo puede ejecutar acciones, no solo dar consejos.
Un Servidor MCP Seguro que gobierna lo que un agente puede leer, registra cada acceso y aplica los mismos controles de política que se aplican a los usuarios humanos, permite a los equipos de seguridad extender la confianza calibrada a sistemas autónomos del mismo modo que Bromiley describe para los analistas humanos: conociendo el perfil de fallos, instrumentando para ello y verificando en proporción a lo que cuesta equivocarse.
Cerrando la brecha de preparación: la gobernanza como capa faltante
Los autores de la encuesta plantean los próximos 12 meses como una prueba de si las organizaciones pueden cerrar la brecha de preparación frente a la implementación de IA a la que ya se han comprometido. Tres prioridades destacan: validación que realmente mida precisión y exhaustividad, no solo afirmaciones del proveedor; gobernanza integrada en los controles que los analistas usan a diario, no solo en documentos de política; y desarrollo de personal tratado como una necesidad operativa inmediata, no como una partida de presupuesto de formación para el año siguiente.
El incidente de Bromiley ejemplifica lo que está en juego. El ritmo de una intrusión asistida por IA consume exactamente el tiempo que los defensores han dedicado el último año a desarrollar los instintos para usar.
Cerrar esa brecha no es cuestión de comprar una mejor herramienta de detección de IA —la encuesta es clara en que los controles específicos de IA ocupan el último lugar en la confianza de los profesionales—. Se trata de reducir el espacio en el que una respuesta errónea pero segura, ya sea de una herramienta del atacante o del propio asistente de IA del defensor, puede causar daños antes de que un humano la detecte.
La gobernanza de datos que verifica el contenido antes de que llegue a un modelo, la visibilidad de la traza de auditoría sobre lo que realmente accedió un sistema de IA y los controles de acceso que limitan el alcance del daño, reducen esa ventana.
Un plan de respuesta a incidentes documentado que modele explícitamente el escenario de «un agente de IA actuó sobre un contexto erróneo» —con procedimientos de reversión definidos y umbrales claros de escalamiento humano— es el complemento operativo de la arquitectura de gobernanza: define qué ocurre después de la detección, no solo cómo funciona la detección.
Nada de esto reemplaza al analista escéptico al que la encuesta vuelve una y otra vez. Le da a ese analista algo confiable sobre lo que ser escéptico.
Para saber más sobre cómo gobernar los datos que llegan a tus sistemas de IA y mantener una traza de auditoría verificable de cada acceso, solicita una demo personalizada hoy.
Preguntas frecuentes
La Encuesta SANS AI 2026 encuestó a 536 profesionales de TI y seguridad sobre cómo utilizan la IA generativa en el trabajo de ciberseguridad y cuán fiable ha sido esa IA en la práctica. Mide tasas de adopción, en qué situaciones los profesionales confían en la salida de la IA frente a cuándo la verifican manualmente, con qué frecuencia la guía de IA los ha desinformado y cómo experimentan las organizaciones los ataques potenciados por IA. Los hallazgos están estrechamente relacionados con el tipo de análisis de riesgos y gobernanza de datos que determinan si las implementaciones de IA son confiables desde el principio. Las organizaciones sujetas a obligaciones de cumplimiento normativo —HIPAA, GDPR, CMMC— deben tratar los hallazgos sobre la procedencia de los datos de la encuesta como directamente aplicables: las mismas brechas de gobernanza que producen respuestas erróneas pero seguras de la IA en un SOC son las que exponen datos regulados a riesgos mediados por IA.
Los profesionales confían más en la IA para problemas estructurados y bien etiquetados, como clasificar amenazas o priorizar vulnerabilidades, donde hay abundancia de datos de entrenamiento y la tarea tiene respuestas claras. Confirmar un positivo real o juzgar una anomalía de comportamiento requiere un juicio dependiente del contexto que los modelos de IA manejan mal, por eso el 63% de los encuestados reportó deficiencias importantes en la detección y respuesta impulsadas por IA. Controles de acceso sólidos y una procedencia de datos verificada ayudan a reducir esa brecha asegurando que la IA procese información precisa y actual. La minimización de datos aplicada a lo que los sistemas de IA pueden acceder —restringiendo cada modelo a los datos mínimos necesarios para su tarea— también reduce la superficie en la que una respuesta errónea pero segura puede causar daños operativos.
En el incidente que describió Bromiley, un compromiso en la cadena de suministro pasó del acceso inicial al movimiento lateral en minutos, en lugar de los días o semanas que suele tomar el reconocimiento manual. Los umbrales de detección y las rotaciones de guardia se basan en la suposición de tiempo de permanencia del atacante, y las herramientas asistidas por IA eliminan gran parte de ese margen. Reducir la dependencia de ese margen requiere controles como la arquitectura de confianza cero y visibilidad de egreso que no dependen de detectar al atacante en pleno reconocimiento. Un SIEM con ingesta de telemetría en tiempo real y establecimiento de líneas base conductuales es la infraestructura de detección que convierte el tiempo de permanencia comprimido de una ventaja abrumadora de velocidad en una anomalía señalada: las organizaciones que carecen de esta capa de visibilidad son estructuralmente ciegas al patrón de ataque que documenta la encuesta.
La detección conductual, la capacitación en concienciación de seguridad, la revisión por analistas humanos y la arquitectura de confianza cero son los controles en los que más confían los profesionales, mientras que las herramientas específicas de IA ocupan el último lugar. El denominador común es que estos controles limitan lo que un atacante puede hacer realmente dentro de un entorno, en vez de intentar superar analíticamente las herramientas del atacante. Las prácticas de gestión de riesgos de terceros, incluido un inventario preciso de la cadena de suministro de software, también destacan entre las necesidades de los profesionales. Las políticas ABAC que evalúan la sensibilidad del contenido y el contexto del usuario en cada solicitud —no solo en la autenticación inicial— son la implementación de controles de acceso que permite la aplicación de privilegios mínimos que asumen los controles mejor valorados en la encuesta.
Los sistemas de IA generan respuestas seguras a partir del contexto que reciben, y si ese contexto está desactualizado, no verificado o no autorizado, la salida parece igual de autorizada que si proviniera de datos limpios. Aplicar gobernanza en el punto en que el contenido llega al modelo —mediante herramientas como Kiteworks Compliant AI y un Servidor MCP Seguro gobernado para el acceso de agentes— da a los analistas una traza de auditoría verificable de lo que realmente vio la IA, facilitando calibrar cuánta confianza merece una salida. Un plan de respuesta a incidentes documentado que contemple escenarios de error de agentes de IA —incluyendo el procedimiento para cuando un sistema de IA actúa sobre datos erróneos o no autorizados— es la capa operativa que convierte esa infraestructura de gobernanza de un control preventivo en una capacidad de respuesta completa.
Recursos adicionales
- Artículo del Blog
Estrategias Zero‑Trust para una protección de privacidad de IA asequible - Artículo del Blog
Cómo el 77% de las organizaciones falla en la seguridad de datos de IA - eBook
Brecha de gobernanza de IA: por qué el 91% de las pequeñas empresas juegan a la ruleta rusa con la seguridad de datos en 2025 - Artículo del Blog
No existe un «–dangerously-skip-permissions» para tus datos - Artículo del Blog
Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.