La IA está transformando la forma en que operan muchas empresas. Según un estudio, el 97 % de los ejecutivos afirma haber implementado agentes en el último año, y más de la mitad (57 %) de su personal ya los utiliza. Sin embargo, también está impulsando la economía del cibercrimen. CrowdStrike afirma que la actividad de los adversarios con IA aumentó un 89 % el año pasado.
En muchos de estos casos, no se trata de crear categorías de riesgo completamente nuevas. Más bien, la IA ofrece a los grupos de ciberdelincuentes poderosas maneras de ampliar y acelerar sus ataques. Los defensores de las redes se ven cada vez más desbordados. Y a medida que más adversarios adoptan herramientas basadas en agentes, el desequilibrio podría agravarse.
En este contexto, los equipos de cumplimiento normativo, gestión de riesgos y operaciones de seguridad (SecOps) desempeñan un papel importante.
Colapsando la ventana
El informe de CrowdStrike sobre la búsqueda de amenazas de 2026, publicado recientemente, resulta muy instructivo. Explica cómo la IA de vanguardia está ayudando a reducir el tiempo que transcurre entre el descubrimiento y la explotación de vulnerabilidades. No se trata necesariamente de encontrar fallos novedosos, aunque la IA también puede hacerlo. Se trata de capacitar a los hackers para que aprovechen los últimos descubrimientos y generen exploits y rutas de ataque de prueba de concepto (PoC) con rapidez y a gran escala.
“Al encadenar actividades a través de la identidad, la nube, el SaaS, los puntos finales y la infraestructura perimetral, los adversarios pueden establecer puntos de apoyo, escalar privilegios, extraer datos o lanzar ataques disruptivos antes de que los defensores puedan conectar las señales y responder”, señala el informe.
Los resultados son contundentes. Entre enero y junio, el 88 % de las explotaciones de vulnerabilidades detectadas por CrowdStrike que involucraban una prueba de concepto pública se llevaron a cabo dentro de las 48 horas posteriores a su publicación. En algunos casos, como los de los grupos chinos Vault Panda y Genesis Panda, los ataques se lanzaron dentro de las 24 horas posteriores a su divulgación pública.
Un número relativamente pequeño pero creciente de nuevas vulnerabilidades se encuentran en los servidores de IA y el software relacionado: a veces ayudan a los atacantes a minar criptomonedas y obtener configuraciones sensibles.
información, o incluso acceder a los propios modelos de IA.
CrowdStrike también señala que las técnicas de acceso a modelos de IA (entre las que se incluye la explotación de vulnerabilidades) representaron el 16 % del total de técnicas MITRE ATLAS observadas durante los últimos 12 meses. Esto refleja la realidad del panorama actual de amenazas. La IA es, a la vez, una tecnología poderosa que puede utilizarse para ataques y un objetivo en sí misma. Como afirma CrowdStrike: «La IA es ahora una herramienta, un objetivo y un multiplicador de fuerza para los adversarios».
Ahogándose en CVE
La cuestión es si la IA también puede ser un factor multiplicador para los defensores de redes, ya que esto es solo el comienzo. Los informes sugieren que se publicaron más de 48 000 vulnerabilidades CVE en 2025, lo que representa un aumento anual del 20 %. En junio, la cifra rondaba las 7400, casi el doble que en junio de 2025. El ritmo de cambio no hará más que aumentar.
Por un lado, esto debería ser una buena noticia para los responsables de la seguridad de la red, ya que cuantas más actualizaciones de seguridad haya disponibles, más oportunidades habrá para mejorar la resiliencia de los sistemas informáticos. Sin embargo, los parches no sirven de nada si son tantos que los responsables de la seguridad de la red no pueden priorizarlos, probarlos e implementarlos de forma razonable. Esto podría dificultar su trabajo, al menos a corto plazo.
Elaboración de un plan de respuesta
Para Erich Kron, asesor de CISO de KnowBe4, hacer bien lo básico debería ser lo primero que hagan los equipos de seguridad.
«Las organizaciones deben asegurarse de contar con un buen proceso para probar parches o medidas de mitigación rápidamente y un plan para aplicarlos con celeridad», explica a IO (antes ISMS.online). «Además, deben asegurarse de tener un inventario preciso de todos los dispositivos de la red, incluyendo el software instalado y sus versiones, para poder priorizar rápidamente las posibles vulnerabilidades según su gravedad, en función de las necesidades específicas de su organización».
Christopher Jess, gerente sénior de I+D de Black Duck, coincide en que el inventario es esencial, especialmente en un mundo de código abierto, y que la gestión de riesgos debe ser continua, con equipos que establezcan umbrales de riesgo claros para activar de inmediato las medidas correctivas.
«Las empresas deben eliminar la mayor cantidad posible de latencia manual en la detección, priorización y corrección de vulnerabilidades», explica a IO. «Esto implica descubrir continuamente activos y dependencias, analizar el código y el software de código abierto a lo largo del ciclo de vida del desarrollo de software, correlacionar automáticamente la nueva información sobre vulnerabilidades con lo que realmente está implementado y priorizar los problemas según su explotabilidad e impacto en el negocio, en lugar de simplemente generar listas cada vez más largas de CVE».
Dada la creciente brecha en velocidad y capacidad entre atacantes y defensores, la monitorización continua se convierte en algo imprescindible, añade Deborah Galea, experta en ciberseguridad de Filigran.
“Las revisiones de riesgos periódicas y reactivas ya no son suficientes. Las organizaciones necesitan una monitorización de amenazas continua, en tiempo real y proactiva que detecte las vulnerabilidades antes de que puedan ser explotadas. El enfoque debe estar en el riesgo real, no en el riesgo teórico: vulnerabilidades que se explotan en la práctica y amenazas que se observan contra organizaciones de tamaño, sector y ubicación geográfica similares”, explica a IO.
“El intercambio de información sobre amenazas en tiempo real es cada vez más importante, ya que reduce la brecha entre el momento en que un ataque aparece por primera vez y el momento en que las defensas pueden responder, lo que permite a las organizaciones actuar sobre los riesgos que surgen en sus proveedores, competidores o en el sector antes de que esos riesgos les afecten.”
El cumplimiento normativo desempeña su papel
Oliver Simonnet, investigador principal de ciberseguridad en CultureAI, sostiene que en todo esto desempeñan un papel importante tanto los equipos de cumplimiento normativo como los de operaciones de seguridad.
“Las funciones de cumplimiento y gobernanza deberían priorizar la evaluación de si las políticas y los procedimientos se están siguiendo realmente para ayudar a reducir el impacto del uso interno de la IA y la exposición externa”, explica a IO.
“La gestión de riesgos deberá aumentar su capacidad para evaluar, detectar y resolver problemas de seguridad, ya sean relacionados con la IA o tradicionales, con el fin de maximizar la resiliencia técnica del negocio. Los procedimientos de supervisión de proveedores también deben revisar periódicamente los acuerdos, las prácticas y los términos de los proveedores para garantizar que sus datos y su exposición general al riesgo sean conocidos y comprendidos.”
Simonnet añade que el cumplimiento normativo también puede ser útil al garantizar una clara rendición de cuentas, la supervisión de terceros y planes de implementación y prueba medibles. «Si las organizaciones desarrollan y prueban internamente herramientas con tecnologías de IA integradas, deben tratarse como infraestructura privilegiada y de alto riesgo, con una sólida visibilidad, registro de actividad, aplicación de parches, controles de acceso y funciones de contención», afirma.
Quizás, sobre todo, los CISO no deben relegar este tema a un segundo plano. La IA llegó para quedarse y su impacto en la investigación y explotación de vulnerabilidades es indiscutible. El volumen de CVE se dispara. Los modelos de código abierto se vuelven más potentes con cada nueva versión. Como argumenta Simonnet: «las organizaciones deberían adelantarse a los acontecimientos ahora, en lugar de considerar el riesgo de la IA como algo que resolver más adelante».
Amplíe su conocimiento
Blog: La retirada de NVD debería impulsar un enfoque de resiliencia para la gestión de vulnerabilidades.
Blog: Del enfoque "Mantenerlos fuera" al enfoque "Mantener el negocio en marcha"
Podcast: Phishing for Trouble T2 E5: Cumples con las normas. ¿Eres resiliente?
