El estudio Mythos 2026 de Zscaler revela que el 100% de las empresas analizadas mantiene expuestas sus herramientas corporativas de inteligencia artificial a posibles ataques externos, mientras que la seguridad específica para IA apenas alcanza una puntuación media de 10,5 sobre 100.
La rápida adopción de herramientas de inteligencia artificial generativa está creando una nueva superficie de ataque para las empresas, que están incorporando estas tecnologías a un ritmo muy superior al de sus estrategias de protección. Así lo advierte Zscaler a través de su estudio Mythos 2026, elaborado a partir del análisis de 38 grandes organizaciones de sectores como la banca, la sanidad, la industria, la energía y la tecnología.
El informe concluye que el 100% de las empresas analizadas mantiene expuestas sus herramientas corporativas de IA a posibles ataques externos. Además, la puntuación media en seguridad específica para esta tecnología apenas alcanza los 10,5 puntos sobre 100. Ni siquiera la organización mejor preparada supera los 15 puntos, lo que pone de manifiesto la todavía escasa madurez de las estrategias empresariales de gobernanza y protección de la inteligencia artificial.
La carrera por adoptar IA abre nuevas puertas a los ciberdelincuentes
La investigación muestra que muchas organizaciones están desplegando herramientas de IA sin incorporar controles básicos de seguridad. Chatbots corporativos, interfaces Model Context Protocol (MCP) y APIs de inferencia permanecen en algunos casos accesibles desde Internet sin mecanismos adecuados de autenticación o verificación de identidad.
Esta situación facilita que los ciberdelincuentes puedan identificar estas herramientas y utilizarlas como posibles puntos de entrada a los sistemas corporativos. El problema se ve agravado por la velocidad con la que las empresas están adoptando la IA generativa.
En muchos casos, las nuevas aplicaciones son desplegadas directamente por departamentos de negocio o equipos de desarrollo sin pasar por los procesos habituales de revisión de los responsables de ciberseguridad. Como consecuencia, la superficie de ataque empresarial se amplía a un ritmo más rápido que la capacidad de las organizaciones para supervisarla y protegerla.
La inteligencia artificial ya forma parte del perímetro de seguridad empresarial
Para Zscaler, la inteligencia artificial ha dejado de ser únicamente una herramienta de productividad y se ha convertido en un activo crítico que debe gestionarse bajo los mismos principios de seguridad que cualquier otra infraestructura corporativa.
«La IA está entrando en las organizaciones a una velocidad sin precedentes, pero la seguridad no está evolucionando al mismo ritmo», afirma Sam Curry, Director de Seguridad de la Información de Zscaler. El directivo advierte de que muchas empresas continúan protegiendo sus aplicaciones tradicionales mientras dejan sin supervisión una nueva generación de herramientas de IA que ya manejan información sensible y procesos críticos del negocio.
Según Curry, la gobernanza de la IA debe convertirse en una prioridad desde el inicio y no esperar a que se produzca una brecha de seguridad.
El estudio señala que la falta de controles específicos sobre la inteligencia artificial no responde únicamente a una carencia tecnológica, sino también a la ausencia de procesos de gobernanza adaptados a esta nueva realidad. La proliferación de copilotos, asistentes virtuales y aplicaciones basadas en modelos de lenguaje está ampliando la superficie de exposición de las empresas mucho más rápido de lo que evolucionan sus estrategias de protección.
Ante este escenario, Zscaler recomienda que las organizaciones adopten una estrategia integral de seguridad de la IA que incluya visibilidad sobre todos los activos de inteligencia artificial desplegados, autenticación de acceso, control de identidades, inspección del tráfico y políticas específicas de gobernanza capaces de evolucionar al mismo ritmo que la adopción de esta tecnología.
