Seis de cada diez vulnerabilidades detectadas en entornos corporativos con adopción activa de inteligencia artificial provienen de aplicaciones construidas por empleados sin perfil técnico. Finanzas encabeza la lista de áreas generadoras de riesgo, seguida por marketing y legal. Los desarrolladores, paradójicamente, ocupan el cuarto lugar. Este patrón redefine dónde deben concentrarse los esfuerzos de seguridad en organizaciones que han acelerado su adopción de herramientas de IA.
Un caso documentado en una empresa Fortune 500 ilustra la magnitud del problema: un empleado del área financiera construyó una aplicación para gestionar información de clientes que quedó expuesta públicamente en internet sin supervisión ni controles de acceso. El incidente no fue producto de un ataque externo, sino de la combinación entre la accesibilidad de las herramientas de desarrollo con IA y la ausencia de procesos de revisión de seguridad para aplicaciones internas. La velocidad de adopción agrava el escenario: una nueva herramienta de IA puede estar operando dentro de una empresa pocas horas después de su lanzamiento público.
Del comportamiento del usuario al comportamiento del agente
Este desplazamiento del riesgo hacia los usuarios no técnicos está impulsando una reconfiguración del mercado de ciberseguridad empresarial. Las soluciones tradicionales, diseñadas para monitorear accesos y comportamientos humanos, no están equipadas para evaluar cómo se comportan los agentes de IA en tiempo real ni para auditar el ciclo de vida de las aplicaciones que los empleados construyen con estas herramientas.
La brecha entre la velocidad de adopción de IA y la madurez de los controles de seguridad representa una ventana de exposición que varía según la cultura organizacional frente a la tecnología. En cada evaluación de prueba de concepto realizada en entornos corporativos, se han identificado vulnerabilidades activas, incluyendo ataques en curso sobre herramientas que aún estaban en fase de evaluación.
El nuevo paradigma de seguridad exige monitoreo del comportamiento de las aplicaciones de IA —no solo de los usuarios que las operan— y visibilidad sobre cómo se desarrollan e implementan estas soluciones dentro de la organización. La transición, en palabras del sector, es pasar de analizar el comportamiento del usuario al comportamiento del agente: un cambio de enfoque que tiene implicaciones directas sobre arquitectura, gobernanza y gestión de riesgos a nivel corporativo.
