Por Tomas Foltyn, security writer en ESET
La inteligencia artificial se ha incorporado rápidamente al trabajo diario de las pequeñas y medianas empresas (PyMEs). Muchas ya han superado la etapa de los chatbots y comenzaron a asignar tareas a agentes de IA con la esperanza de obtener una ventaja frente a competidores con recursos igualmente limitados y equilibrar el terreno de juego frente a compañías más grandes. De hecho, las organizaciones más ambiciosas ya están implementando, o al menos experimentando con, «líneas de ensamblaje» multiagente, en las que un agente supervisor coordina grupos de agentes especializados y distribuye el trabajo entre ellos.
Pero la IA cambia más cosas que la forma en que se realiza el trabajo. Cada nuevo acceso y conexión genera nuevas dependencias para la empresa, y cada una de ellas representa un posible riesgo de ciberseguridad. Sin embargo, las PyMEs rara vez cuentan con recursos sobrantes, especialmente en el área de TI. La ciberseguridad, en particular, suele ser solo una de las muchas responsabilidades de una persona o un pequeño equipo que debe ocuparse de todo, desde la gestión de cuentas hasta las consecuencias de vulnerabilidades de día cero.
Aun así, pocas empresas están dispuestas a dar marcha atrás con la IA hasta que todos los riesgos estén identificados y mitigados. Menos aún saben qué vulnerabilidades deberían abordar primero. Una encuesta global reciente de ESET realizada a 4.400 responsables de la toma de decisiones en PyMEs reveló que el 40 % de las organizaciones ni siquiera contaban con una política de uso de IA. Estas políticas eran más frecuentes en empresas que ya habían sufrido algún incidente, lo que refleja un patrón conocido: la gobernanza suele llegar después de una brecha de seguridad.
En términos generales, los riesgos de seguridad actuales se expanden en dos direcciones principales: la IA crea nuevas vías de acceso a los sistemas empresariales y hace que las amenazas tradicionales sean más rápidas y escalables.
Agentes de IA, agentes dobles y agentes fuera de control
Sea cual sea su función, cada agente conectado a sistemas empresariales puede actuar a través de los permisos otorgados por su «propietario». Una vez que un agente tiene acceso a documentos internos y capacidad para comunicarse con el exterior, cualquier elemento que influya en sus instrucciones también puede influir en el uso que haga de esos permisos.
Un chatbot podría generar una respuesta incorrecta; en cambio, un agente con acceso a datos y herramientas podría ejecutar una acción equivocada y potencialmente costosa. En entornos multiagente, una salida manipulada puede pasar al siguiente eslabón de la cadena, provocando un problema en cascada cuya causa raíz resulta difícil de identificar.
Por supuesto, algunos de los riesgos relacionados con los agentes de IA tienen orígenes conocidos: la cadena de suministro de un agente puede verse comprometida y sus permisos pueden ser utilizados de forma indebida. Un buen ejemplo son las skills o conjuntos de instrucciones empaquetadas que indican a un agente qué acciones realizar y qué herramientas utilizar. Entre marzo y mayo de 2026, los sistemas de ESET analizaron cerca de 900.000 skills únicas procedentes de repositorios populares. Más de 25.000 resultaron sospechosas y más de 3.000 fueron directamente maliciosas, facilitando robo de credenciales, exfiltración de datos y ejecución remota de código.
Cuántas de estas skills fueron instaladas a nivel global es imposible saberlo con precisión, pero el análisis demuestra la rapidez con la que ha crecido una cadena de suministro poco controlada alrededor de la IA agéntica. El ecosistema de skills carece de mecanismos de revisión comparables a los de una tienda de aplicaciones, y una verificación puntual antes de la instalación tampoco es suficiente.
Las skills y las conexiones con herramientas, incluidas aquellas que utilizan servidores MCP, siguen siendo dependencias activas incluso después de una revisión inicial, ya que sus instrucciones y servicios asociados pueden cambiar en cualquier momento. El resultado podría ser un rug pull, donde una herramienta que inicialmente funciona como se espera termina transformándose, por ejemplo, en un ladrón de información (infostealer).
Es poco probable que un equipo de TI reducido revise cada una de estas dependencias antes de instalarlas y mucho menos que continúe monitoreándolas después. De hecho, es posible que ni siquiera sepa que un empleado conectó una skill aparentemente útil a un agente sin darse cuenta de que esta puede, por ejemplo, leer una unidad compartida y comunicarse con servicios de terceros. Tampoco conviene confiar ciegamente en las descripciones de las skills: con demasiada frecuencia, no hacen exactamente lo que prometen.
Cuando el problema está en los modelos
Otras vías de ataque son creadas por los propios modelos de lenguaje (LLM). Estos modelos son conocidos por sus alucinaciones, y muchas de ellas pueden tener consecuencias serias, ya que abren una nueva ruta entre el lenguaje natural y la ejecución de acciones, incluso hacia recursos controlados por atacantes. Por ejemplo, los LLM suelen inventar nombres de bibliotecas de software y dominios web con suficiente frecuencia como para que los ciberdelincuentes los registren y esperen a que un desarrollador o un agente de programación los utilice.
Los agentes también pueden sufrir desalineación agéntica (agentic misalignment), continuando obstinadamente con una tarea incluso si eso implica, por ejemplo, intentar acceder ilegalmente a los sistemas de otra empresa. Además, los atacantes pueden introducir datos maliciosos en la memoria a largo plazo de un agente, donde permanecen latentes hasta ser recuperados para cometer fraude u otras acciones maliciosas. Y continúan apareciendo nuevas amenazas de forma constante, ya sea como pruebas de concepto o ataques detectados en entornos reales.