La inteligencia artificial ha dejado de ser una promesa futurista para convertirse en una herramienta cotidiana en las peque\u00f1as y medianas empresas (PYMES). Muchas han superado la fase experimental con chatbots y han comenzado a delegar tareas operativas a agentes de IA, con la esperanza de ganar ventaja frente a competidores igualmente limitados en recursos y de equilibrar el terreno de juego con las grandes corporaciones. Los adoptantes m\u00e1s ambiciosos ya est\u00e1n desplegando, o al menos experimentando con, aut\u00e9nticas \u00abl\u00edneas de montaje\u00bb multiagente, donde un agente supervisor gestiona enjambres de agentes especializados y transfiere el trabajo entre ellos. Sin embargo, la IA no solo cambia la forma en que se realiza el trabajo: cada nuevo acceso y cada nueva conexi\u00f3n introduce dependencias que representan un riesgo potencial de ciberseguridad. Las PYMES rara vez disponen de recursos sobrantes, y mucho menos en el departamento de TI. La ciberseguridad suele ser un \u00edtem m\u00e1s dentro de una lista de responsabilidades que recae en una persona o un equipo peque\u00f1o encargado de todo, desde la gesti\u00f3n de cuentas hasta la contenci\u00f3n de vulnerabilidades de d\u00eda cero.<\/p>\n
A pesar de estos riesgos, pocas empresas est\u00e1n dispuestas a frenar la adopci\u00f3n de IA hasta haber cartografiado y mitigado cada amenaza. Menos a\u00fan saben qu\u00e9 brechas taponar primero. Una encuesta global de ESET<\/a> entre 4.400 tomadores de decisiones de PYMES revel\u00f3 que el 40 % de las empresas ni siquiera contaba con una pol\u00edtica de IA. Las normas eran m\u00e1s frecuentes en compa\u00f1\u00edas que ya hab\u00edan sufrido un incidente, lo que confirma el patr\u00f3n habitual: la gobernanza suele llegar despu\u00e9s de la brecha. En t\u00e9rminos generales, los riesgos de seguridad actuales se expanden en dos direcciones principales: la IA crea nuevas v\u00edas de acceso a los sistemas empresariales, mientras que los adversarios la utilizan para a\u00f1adir velocidad y escala a las amenazas \u00abcl\u00e1sicas\u00bb.<\/p>\n Cualquiera que sea su cometido, cada agente conectado a los sistemas de la empresa puede actuar con los permisos otorgados por su \u00abpropietario\u00bb. Una vez que un agente tiene acceso a documentos internos y puede comunicarse externamente, cualquier factor que influya en sus instrucciones puede influir tambi\u00e9n en lo que hace con esos permisos. Un chatbot puede producir una respuesta descabellada, pero un agente con acceso a datos y herramientas puede tomar una acci\u00f3n descabellada y, en \u00faltima instancia, costosa. En configuraciones multiagente, las salidas manipuladas pueden transferirse a la siguiente parte de la cadena, desencadenando un problema en cascada cuya causa ra\u00edz es dif\u00edcil de rastrear.<\/p>\n Por supuesto, algunos riesgos asociados a los agentes de IA tienen ra\u00edces conocidas: las cadenas de suministro de un agente pueden verse comprometidas y sus permisos pueden ser abusados. Esto se ilustra perfectamente con las skills, o instrucciones empaquetadas que indican al agente qu\u00e9 acciones tomar y qu\u00e9 herramientas usar. Entre marzo y mayo de 2026<\/a>, los sistemas de ESET escanearon casi 900.000 skills \u00fanicas procedentes de repositorios populares; m\u00e1s de 25.000 resultaron sospechosas y m\u00e1s de 3.000 eran directamente maliciosas, lo que condujo a robo de credenciales, exfiltraci\u00f3n de datos y ejecuci\u00f3n remota de c\u00f3digo. Las instrucciones de una skill automodificable, por ejemplo, pueden provocar comportamientos impredecibles y abusos. Cu\u00e1ntas de esas skills se instalaron a nivel mundial es incalculable, pero el an\u00e1lisis demuestra la rapidez con la que ha crecido una cadena de suministro mal gobernada en torno a la IA ag\u00e9ntica. El ecosistema de skills carece de una supervisi\u00f3n al estilo de las tiendas de aplicaciones, y las verificaciones puntuales antes de la instalaci\u00f3n no son suficientes. Las skills y las conexiones con herramientas, incluidas las que utilizan los omnipresentes servidores MCP, siguen siendo dependencias activas despu\u00e9s de la revisi\u00f3n inicial, ya que sus instrucciones y los servicios upstream pueden cambiar en cualquier momento. El resultado puede ser un \u00abrug pull\u00bb: una herramienta que al principio se comporta como se espera, pero que despu\u00e9s se transforma, por ejemplo, en un infostealer.<\/p>\n Un equipo de TI reducido dif\u00edcilmente revisar\u00e1 cada dependencia en el momento de la instalaci\u00f3n, y mucho menos mantendr\u00e1 una vigilancia continua. Es posible que ni siquiera sepan que un empleado ha conectado una skill de aspecto \u00fatil a un agente sin ser consciente de que, por ejemplo, puede leer la unidad compartida y comunicarse con un servicio de terceros. Tampoco se pueden tomar las descripciones de las skills al pie de la letra: con demasiada frecuencia, una skill no hace \u00ablo que promete\u00bb.<\/p>\n Otras v\u00edas de ataque las crean los propios LLM. Los modelos son (notoriamente) propensos a las alucinaciones, muchas de las cuales no tienen ninguna gracia, ya que en \u00faltima instancia abren otro camino desde el lenguaje hasta la ejecuci\u00f3n, y hasta un recurso controlado por el atacante. Por ejemplo, los LLM tienden a inventar los mismos nombres de bibliotecas de software y dominios web con la suficiente frecuencia como para que los adversarios los registren y esperen a que un (vibe) coder o un agente de codificaci\u00f3n los utilice.<\/p>\n Los agentes tambi\u00e9n pueden sufrir una desalineaci\u00f3n ag\u00e9ntica, en la que prosiguen obstinadamente incluso si ello implica, por ejemplo, irrumpir en otras empresas. Los atacantes pueden inyectar datos maliciosos en la memoria a largo plazo de un agente, donde la entrada permanece latente hasta que se recupera para cometer fraudes u otras acciones nefastas. Otras amenazas siguen surgiendo regularmente, ya sea como pruebas de concepto o como ataques reales detectados en la naturaleza.<\/p>\n Pero quiz\u00e1s la amenaza m\u00e1s com\u00fan e insidiosa ataca lo que se le dice al modelo. Los LLM no pueden distinguir de forma fiable las instrucciones confiables y privilegiadas de los datos recuperados que no son de confianza; tratan todo como un flujo de tokens. Esto deja a los agentes especialmente vulnerables a los ataques de inyecci\u00f3n indirecta de instrucciones, en los que un adversario oculta comandos en una p\u00e1gina web, un correo electr\u00f3nico u otro recurso que el agente tiene instrucciones de recuperar. La vulnerabilidad EchoLeak en Microsoft 365<\/a> Copilot demostr\u00f3 el riesgo de exposici\u00f3n de datos sin que se hiciera clic en ning\u00fan enlace malicioso. Una reciente competici\u00f3n de red-teaming a gran escala encontr\u00f3 al menos un ataque de secuestro exitoso contra cada uno de los 13 modelos frontera evaluados. La inyecci\u00f3n de instrucciones ocupa sistem\u00e1ticamente el primer puesto en la lista de OWASP de los riesgos de seguridad m\u00e1s cr\u00edticos para las aplicaciones LLM.<\/p>\n Las amenazas espec\u00edficas de la IA no han desplazado en absoluto las v\u00edas de acceso tradicionales a los activos m\u00e1s valiosos de las empresas. El phishing, las vulnerabilidades de software, las credenciales robadas y los servicios remotos expuestos siguen estando en el centro de muchos incidentes. El \u00cdndice de Preparaci\u00f3n Cibern\u00e9tica para PYMES 2026 de ESET se\u00f1ala el phishing y la explotaci\u00f3n de vulnerabilidades de software conocidas como las dos causas m\u00e1s comunes de brechas. La velocidad de explotaci\u00f3n de vulnerabilidades a menudo deja a los defensores sin tiempo para parchear o mitigar: casi una cuarta parte de las casi 500 vulnerabilidades conocidas explotadas en el primer semestre de 2026 lo fueron el mismo d\u00eda de su divulgaci\u00f3n o incluso antes.<\/p>\n El phishing y otras amenazas de ingenier\u00eda social siguen cambiando de \u00abcara\u00bb y de m\u00e9todo de entrega, y con un \u00e9xito considerable: Microsoft afirma que los correos electr\u00f3nicos de phishing automatizados con IA alcanzan una tasa de clics del 54 %, frente al 12 % de los intentos est\u00e1ndar. Mientras tanto, el phishing mediante c\u00f3digos QR se dispara, y ClickFix \u2014la rampante amenaza en la que un mensaje de error falso pide al usuario que pegue un comando en su propio terminal\u2014 ahora se disfraza a menudo como soluci\u00f3n de problemas de IA y utiliza indebidamente las funciones de uso compartido p\u00fablico de servicios populares de IA para alojar instrucciones maliciosas.<\/p>\n Muchas campa\u00f1as de phishing est\u00e1n dise\u00f1adas para resistir el escrutinio que los empleados han aprendido a seguir. La IA permite producir se\u00f1uelos personalizados a una escala y velocidad enormes y a bajo coste, mientras que los kits de phishing como servicio listos para usar suministran la maquinaria para capturar credenciales. Los atacantes tambi\u00e9n buscan la m\u00ednima resistencia posible y se mezclan con el trabajo ordinario, llegando a los empleados cuando sus cuentas ya est\u00e1n autenticadas.<\/p>\nAgentes de IA, dobles agentes y agentes descarriados<\/h2>\n
La IA da nueva vida a los ataques cl\u00e1sicos<\/h2>\n