Cuando los bots superan a las personas: gobernanza de la tercera categoría de tráfico
El Informe de Bots Maliciosos 2026 de Thales, ahora en su 13ª edición consecutiva, introduce una tercera categoría de tráfico automatizado junto a los bots buenos y malos: los agentes de IA. Navegan por sitios web, recopilan datos y completan tareas para los usuarios. Están integrados en navegadores, plataformas de búsqueda y herramientas empresariales. Además, interactúan directamente con aplicaciones y APIs.
Thales bloqueó 17.2 billones de solicitudes de bots maliciosos en 2025. La actividad de bots impulsados por IA aumentó 12.5 veces año tras año, con solicitudes bloqueadas diarias que pasaron de 2 millones a 25 millones. No se trata de un cambio incremental en el volumen de detección, sino de un cambio estructural en la naturaleza del tráfico a nivel de aplicación. El problema para los defensores ya no es «¿bot o humano?», sino «¿bot, humano o agente actuando en nombre de un humano?». La mayoría de las tecnologías de seguridad empresarial fueron diseñadas para la primera versión de esa pregunta. La tercera categoría rompe los supuestos de la segunda.
5 conclusiones clave
1. Internet ahora es mayormente de máquinas.
El Informe de Bots Maliciosos 2026 de Thales muestra que el tráfico automatizado representa el 53% de todo el tráfico de Internet observado: bots maliciosos un 40%, automatización benigna un 13%. La actividad humana ha caído al 47%. Internet ya no es un lugar que usan los humanos; es un lugar que usan las máquinas y que los humanos visitan. Las tecnologías de seguridad basadas en «¿esto es una persona?» están resolviendo la pregunta equivocada.
2. Los agentes de IA son una nueva categoría de tráfico, no un subconjunto de bots.
Thales añadió agentes junto a los bots buenos y malos porque se comportan de manera diferente: propósito legítimo, solicitudes emitidas por agentes, velocidad de máquina, indistinguibles de llamadas API normales. Usan navegadores reales, huellas válidas y tiempos similares a los humanos porque realmente ejecutan flujos de trabajo autorizados. La pérdida de datos por mal comportamiento de un agente no parece un ataque de bot, parece operaciones normales.
3. El aumento de 12.5x en ataques de bots de IA es el principal indicador.
Las solicitudes diarias bloqueadas impulsadas por IA pasaron de 2 millones a 25 millones en un solo año. Thales bloqueó 17.2 billones de solicitudes de bots maliciosos en 2025. Las herramientas de defensa basadas en «bot vs. humano» están resolviendo el problema del año pasado. La superficie de ataque en la cadena de suministro que esto genera es estructural: los agentes de IA integrados en herramientas empresariales son posibles vectores, no solo funciones de productividad.
4. La brecha de gobernanza es estructural, no táctica.
El Informe de Pronóstico 2026 de Kiteworks encontró que el 100% de las organizaciones tienen IA agente en su hoja de ruta, pero el 63% no puede imponer límites de propósito y el 60% no puede terminar agentes que se comportan mal. La adopción avanza entre 15 y 20 puntos por delante del control en todas las categorías medidas. La inversión en gobernanza de IA se ha centrado en observar a los agentes, no en detenerlos.
5. La solución es gobernanza a nivel de datos, no detección de bots.
Cuando los agentes parecen legítimos para las herramientas de mitigación de tráfico, el único punto de control duradero es el dato al que intentan acceder, con controles de acceso basados en atributos, privilegios mínimos a nivel de contenido y registros de auditoría a prueba de manipulaciones. El estudio Agents of Chaos demostró que los controles a nivel de modelo fallan bajo condiciones adversas; la gobernanza a nivel de datos se mantiene cuando el agente está comprometido.
Confías en que tu organización es segura. Pero ¿puedes verificarlo?
Leer ahora
Cómo se comportan de forma diferente los agentes de IA frente a los bots
Los bots siempre han intentado parecer humanos; los agentes de IA no lo necesitan. Operan a través de navegadores legítimos, huellas válidas y tiempos similares a los humanos porque ese es su flujo de trabajo real: ejecutan tareas que un usuario real autorizó. El informe de Thales lo describe directamente: la actividad impulsada por IA que antes levantaba alertas ahora se mezcla con el uso legítimo, haciendo que la detección y el monitoreo sean mucho más difíciles.
El tráfico de IA detectable representa solo una fracción de toda la actividad habilitada por IA. Los atacantes pueden implementar LLMs autohospedados que no se identifican, y operadores maliciosos pueden ajustar esos modelos para usos no autorizados. Esa brecha se demostró a gran escala en noviembre de 2025, cuando Anthropic reveló GTG-1002, una campaña patrocinada por el estado chino que utilizó Claude Code y orquestación MCP para atacar aproximadamente a 30 entidades de los sectores tecnológico, servicios financieros, manufactura química y gobierno. La IA ejecutó entre el 80% y el 90% del trabajo táctico. Los operadores humanos solo intervinieron en cuatro a seis puntos críticos de decisión por campaña, operando a miles de solicitudes por segundo, un ritmo que ningún equipo rojo humano puede igualar.
El Informe Global de Amenazas 2026 de CrowdStrike sitúa el cambio más amplio en un aumento del 89% año tras año en ataques de adversarios habilitados por IA, con un tiempo promedio de irrupción eCrime que cae a 29 minutos. La división 53/40/13 de Thales indica a los defensores lo que hay en la red. Los datos de CrowdStrike y Anthropic muestran lo que se ejecuta sobre ella.
Por qué la mitigación de bots no llega a la capa de agentes
La gestión de bots se construyó en torno a tres señales: identidad (reputación de IP, cadenas user-agent), comportamiento (límites de tasa, huellas digitales) e intención inferida por patrones. Los agentes de IA superan las tres comprobaciones porque no están fingiendo: realmente ejecutan un navegador, emiten solicitudes para una identidad autenticada y siguen un flujo de trabajo que parece uso normal.
No es un fallo de las herramientas. Es un error de categoría. Como lo expresó la VP Global y GM de Seguridad de Aplicaciones de Thales en el informe: «El reto ya no es identificar bots. Es entender qué está haciendo el bot, agente o automatización, si se alinea con la intención del negocio y cómo interactúa con sistemas críticos». La superficie de control ha cambiado. La estrategia debe cambiar con ella.
Dónde están realmente la mayoría de las organizaciones en la gobernanza de agentes
El Informe de Pronóstico 2026 de Kiteworks encontró que el 100% de las organizaciones tienen IA agente en su hoja de ruta, sin excepciones. El problema es la brecha entre la adopción y los controles que limitan lo que los agentes pueden hacer. Tres controles de contención definen la brecha:
Vinculación de propósito: la capacidad de limitar lo que un agente está autorizado a hacer. El 63% no puede imponerlo. Interruptor de emergencia: la capacidad de terminar rápidamente a un agente que se comporta mal. El 60% no puede. Aislamiento de red: la capacidad de evitar que un agente acceda a sistemas fuera de su alcance. El 55% no puede.
La mayoría de las organizaciones han invertido en observar la IA: el 59% tiene humanos en el circuito, el 58% monitoreo continuo. No han invertido en detenerla. El sector público es el más expuesto: el 90% carece de vinculación de propósito, el 76% de interruptores de emergencia, el 81% de aislamiento de red. Son organizaciones que manejan información clasificada e infraestructura crítica con agentes de IA que no pueden limitar, terminar ni aislar.
Lo que aporta el estudio Agents of Chaos que la telemetría no puede
El estudio Agents of Chaos de febrero de 2026, una colaboración de 38 autores de Northeastern, Harvard, MIT, Stanford, CMU y otras instituciones, desplegó agentes en un laboratorio en vivo durante dos semanas y documentó al menos 10 brechas de seguridad significativas en 11 casos de estudio. Tres déficits estructurales explican por qué los controles a nivel de modelo fallan:
Sin modelo de partes interesadas. Los agentes no tienen un mecanismo confiable para distinguir entre alguien a quien deben trabajar y alguien que los manipula. Por defecto satisfacen a quien habla con mayor urgencia: como los LLM procesan instrucciones y datos como tokens en la misma ventana de contexto, la inyección de prompts es una característica estructural, no un error solucionable.
Sin autopercepción. Los agentes toman acciones irreversibles sin reconocer cuándo superan su competencia. Convierten solicitudes de corta duración en procesos en segundo plano permanentes sin condición de terminación.
Sin superficie privada de deliberación. Los agentes no pueden rastrear de manera confiable qué canales de comunicación son visibles para quién. Filtran información confidencial por los canales equivocados incluso después de instrucciones explícitas de confidencialidad.
Las herramientas que dependen de que el agente haga lo correcto dependen de una propiedad que el agente no tiene de forma confiable. La contención debe venir desde fuera del agente.
La arquitectura que cierra la brecha de la tercera categoría
Si las reglas para bots no alcanzan a los agentes y los agentes no pueden limitarse por sí mismos, el punto de control duradero es la capa de datos. Tres propiedades definen una arquitectura adecuada:
La autorización viaja con el dato, no con la identidad. Un agente que actúa en nombre de un usuario hereda la autorización del usuario, pero la autorización sigue al contenido, no a la sesión. Los controles de acceso basados en atributos evalúan cada solicitud según la sensibilidad de los datos, la autorización del solicitante, el propósito declarado y la política vigente. La mayoría de las tecnologías de acceso existentes fueron diseñadas para roles a nivel de carpeta; no sobreviven al contacto con la generación aumentada por recuperación, donde un agente lee un corpus completo en milisegundos.
La aplicación de políticas ocurre antes de que el agente llegue al dato. Las decisiones se toman en el límite de los datos, no dentro del agente. Esto es lo que el Informe de Pronóstico 2026 de Kiteworks define como vinculación de propósito: el control que el 63% de las organizaciones no puede imponer hoy.
Las pistas de auditoría capturan toda la cadena con calidad probatoria. El Informe de Pronóstico 2026 de Kiteworks halló que el 33% de las organizaciones carecen de pistas de auditoría adecuadas y el 61% tiene registros fragmentados que no son accionables. Cuando un regulador pregunta quién accedió a qué, a través de qué agente, la respuesta debe ser un solo registro consultable. Kiteworks AI Data Gateway y Kiteworks Secure MCP Server implementan este patrón: acceso gobernado en la capa de datos, aplicación de políticas a nivel de contenido y registros a prueba de manipulaciones en correo electrónico, uso compartido de archivos, MFT, SFTP, formularios web y tráfico de IA en un solo plano de control.
Qué deben hacer los CISOs este trimestre
Primero, haz un inventario de los agentes que ya operan en tu entorno. Complementos de navegador, copilotos integrados, automatizaciones SaaS de terceros y herramientas de desarrollo han introducido agentes que actúan en nombre del usuario. El inventario operativo suele ir con retraso respecto a la hoja de ruta. Haz la lista real antes de gobernarla.
Segundo, cierra la brecha del interruptor de emergencia. Si hoy hay que detener un agente que se comporta mal, ¿tu equipo puede hacerlo en menos de una hora? El 60% no puede. Ese control es el mínimo para cualquier implementación responsable y debe estar en marcha antes de ampliar el alcance.
Tercero, impón la vinculación de propósito en la capa de datos. No confíes en que el agente respete su alcance: limítalo mediante una política ABAC que evalúe cada solicitud. Esta es la mayor brecha individual en la encuesta del Informe de Pronóstico 2026 de Kiteworks y el control más eficaz para cerrar.
Cuarto, enruta el tráfico de agentes a través de un plano de control con registros de auditoría con calidad probatoria. El registro fragmentado en nueve herramientas no sobrevive a una investigación regulatoria, una solicitud de descubrimiento de un demandante ni una revisión de incidentes graves. El 61% de las organizaciones está en infraestructuras fragmentadas que no pueden soportar pistas de auditoría con calidad probatoria: esa es la mayor brecha de infraestructura a cerrar antes de que el volumen de agentes siga creciendo.
Quinto, trata los entornos de ejecución de agentes y los conectores de herramientas como infraestructura privilegiada. La revelación de GTG-1002 es el caso de estudio más claro disponible. Limita quién y qué puede ejecutar herramientas, aplica listas de permitidos, monitorea automatización de alta frecuencia y mantén un interruptor de emergencia para actividad sospechosa de agentes. Los mismos controles requeridos para cuentas de servicio ahora aplican a toda identidad de agente, interna o de terceros.
Para saber más sobre cómo gobernar datos de IA, solicita una demo personalizada hoy mismo.
Preguntas frecuentes
Los agentes de IA superan las señales tradicionales de detección de bots porque ejecutan navegadores reales y flujos de trabajo autorizados, no los suplantan. Las reglas de mitigación de bots no los alcanzan. El 63% de las organizaciones no puede imponer límites de propósito a los agentes y el 60% no puede terminar a los que se comportan mal, según el Informe de Pronóstico 2026 de Kiteworks. Trata a los agentes como una categoría aparte e impón controles de acceso en la capa de datos, no en el perímetro de red.
El requisito de acceso mínimo necesario de la ley HIPAA aplica a cualquier sistema que gestione información de salud protegida, incluidos los agentes de IA que actúan en nombre de un clínico. El sector salud va rezagado en contención: el 68% carece de vinculación de propósito y el 59% de interruptores de emergencia, según el Informe de Pronóstico 2026 de Kiteworks. Vincula la autorización a elementos específicos de información de salud protegida mediante política ABAC y registra cada acceso de agente con calidad probatoria para defensa en auditoría.
Eleva el estándar en las familias de controles AC y AU de CMMC. El caso GTG-1002 demuestra que los agentes pueden ejecutar un ciclo completo de intrusión cuando faltan controles de acceso. El 61% de las organizaciones opera en infraestructuras fragmentadas que no pueden soportar pistas de auditoría con calidad probatoria, según el Informe de Pronóstico 2026 de Kiteworks. Enruta el tráfico de agentes a través de un plano de control gobernado que cubra el acceso a CUI antes de la evaluación.
Los controles de gobernanza observan: humano en el circuito, monitoreo continuo, minimización de datos. Los controles de contención detienen: vinculación de propósito, interruptores de emergencia, aislamiento de red. El Informe de Pronóstico 2026 de Kiteworks documenta una brecha de 15 a 20 puntos entre ambos, con más del 60% de las organizaciones incapaces de terminar un agente que se comporta mal. Observar sin detener falla en auditoría, en respuesta a incidentes y en cualquier definición significativa de control.
La gestión de bots cubre el perímetro de red; la gobernanza de agentes debe estar en la capa de datos. El 100% de las organizaciones tiene IA agente en su hoja de ruta, pero el 55% no puede aislar la IA del acceso más amplio a la red, según el Informe de Pronóstico 2026 de Kiteworks. Añade aplicación de políticas ABAC en el límite de los datos, privilegio mínimo a nivel de contenido y pistas de auditoría a prueba de manipulaciones: controles que funcionan independientemente de si el agente parece un bot. Kiteworks Private Data Network ofrece esta arquitectura en todos los canales de intercambio de datos.
Recursos adicionales
- Artículo del Blog
Estrategias Zero-Trust para una protección de privacidad de IA asequible - Artículo del Blog
Cómo el 77% de las organizaciones falla en la seguridad de datos de IA - eBook
Brecha de gobernanza de IA: por qué el 91% de las pequeñas empresas juega a la ruleta rusa con la seguridad de datos en 2025 - Artículo del Blog
No existe «–dangerously-skip-permissions» para tus datos - Artículo del Blog
Los reguladores ya no preguntan si tienes una política de IA. Quieren pruebas de que funciona.