Según Wendi Whitmore, Directora de Inteligencia de Seguridad de Palo Alto Networks, los agentes de IA representan la nueva amenaza interna para las empresas en 2026, lo que plantea varios desafíos para los ejecutivos encargados de garantizar la seguridad ante el esperado aumento de agentes autónomos.
«El CISO y los equipos de seguridad se encuentran bajo mucha presión para implementar nuevas tecnologías lo más rápido posible, y eso crea una enorme presión —y una carga de trabajo masiva— para que los equipos realicen rápidamente los procesos de adquisición, las verificaciones de seguridad y comprendan si las nuevas aplicaciones de IA son lo suficientemente seguras para los casos de uso de estas organizaciones», declaró Whitmore.
«Y eso ha creado el concepto de que el propio agente de IA se convierta en la nueva amenaza interna», añadió.
Según las estimaciones de Gartner, el 40% de todas las aplicaciones empresariales se integrarán con agentes de IA específicos para tareas a finales de 2026, frente a menos del 5% en 2025. Este aumento presenta un arma de doble filo, afirmó Whitmore en una entrevista y un informe de predicciones.
Por un lado, los agentes de IA pueden ayudar a paliar la brecha de habilidades en ciberseguridad que ha afectado a los equipos de seguridad durante años, realizando tareas como corregir código con errores, automatizar el análisis de registros y la clasificación de alertas, y bloquear rápidamente las amenazas de seguridad.
«Cuando lo vemos desde la perspectiva del defensor, gran parte de lo que nos permiten las capacidades de los agentes es empezar a pensar de forma más estratégica sobre cómo defendemos nuestras redes, en lugar de estar siempre en una situación reactiva», dijo Whitmore.
Whitmore comentó que recientemente había hablado con uno de los analistas del centro de operaciones de seguridad (SOC) interno de Palo Alto Networks, quien había creado un programa basado en IA que indexaba las amenazas conocidas públicamente con los datos de inteligencia de amenazas privados de la empresa, y analizaba la resiliencia de la compañía, así como qué problemas de seguridad tenían más probabilidades de causar daños.
Esto, dijo, permite a la empresa «centrar nuestras políticas estratégicas durante los próximos seis meses, el próximo año, en qué tipo de cosas necesitamos implementar. ¿Qué fuentes de datos necesitamos que no estamos considerando necesariamente hoy?».
El siguiente paso en el uso de la IA en el SOC (Centro de Operaciones de Seguridad) implica categorizar las alertas como procesables, de cierre automático o de remediación automática. «Estamos en diversas etapas de implementación de estas funciones», dijo Whitmore. «Cuando hablamos de agentes autónomos, comenzamos con algunos de los casos de uso más sencillos y luego avanzamos a medida que adquirimos más confianza en sus capacidades de respuesta».
Sin embargo, estos agentes, dependiendo de su configuración y permisos, también pueden tener acceso privilegiado a datos y sistemas confidenciales. Esto hace que la IA autónoma sea vulnerable y un objetivo muy atractivo para los ataques.
Uno de los riesgos proviene del «problema del superusuario», explicó Whitmore. Esto ocurre cuando se otorgan permisos amplios a los agentes autónomos, creando un «superusuario» que puede encadenar el acceso a aplicaciones y recursos confidenciales sin el conocimiento ni la aprobación de los equipos de seguridad.
«Es igualmente importante asegurarnos de implementar solo la cantidad mínima de privilegios necesarios para realizar una tarea, al igual que lo haríamos con los humanos», dijo Whitmore.
¿Tiene su CEO un doble de IA?.
«La segunda área es una que aún no hemos visto en las investigaciones», continuó. «Pero, hablando de predicciones, veo este concepto de un doble».
Esto implica el uso de agentes de IA específicos para tareas que aprueban transacciones o revisan y firman contratos que, de otro modo, requerirían la aprobación manual de la alta dirección.
«Pensamos en las personas que dirigen la empresa, que a menudo están desbordadas de trabajo durante el día», dijo Whitmore. «Así que existe la idea de que podemos hacer que el trabajo del CEO sea más eficiente creando estos agentes. Pero, en última instancia, a medida que les damos más poder, autoridad y autonomía, comenzaremos a tener problemas graves».
Por ejemplo: un agente podría aprobar una transferencia bancaria no deseada en nombre del CEO. O imaginemos un escenario de fusiones y adquisiciones, donde un atacante manipula los modelos de tal manera que obliga a un agente de IA a actuar con intenciones maliciosas.
Mediante una «inyección de instrucciones única y bien elaborada o explotando una vulnerabilidad de ‘uso indebido de herramientas'», los adversarios ahora «tienen un infiltrado autónomo a su disposición, uno que puede ejecutar transacciones en secreto, eliminar copias de seguridad o acceder a la base de datos completa de clientes», según las predicciones de Palo Alto Networks para 2026. Esto también ilustra la amenaza constante de los ataques de inyección de instrucciones. Este año, los investigadores han demostrado repetidamente que los ataques de inyección de instrucciones son un problema real, sin que se vislumbre una solución a corto plazo.
«Probablemente la situación empeorará mucho antes de mejorar», dijo Whitmore, refiriéndose a la inyección de instrucciones. «Es decir, no creo que tengamos estos sistemas lo suficientemente protegidos».
Cómo los atacantes usan la IA.
Parte de esto es intencional. «Los nuevos sistemas, y los creadores de estas tecnologías, necesitan que la gente sea capaz de idear casos de uso de ataques creativos, y esto a menudo implica manipular» los modelos, dijo Whitmore. «Esto significa que debemos integrar la seguridad desde el principio, y hoy en día vamos por delante de nuestras posibilidades. El desarrollo y la innovación en los propios modelos de IA se están produciendo mucho más rápido que la incorporación de la seguridad, que se está quedando atrás».
Haciendo a los atacantes más poderosos.
En 2025, el equipo de respuesta a incidentes Unit 42 de Palo Alto Networks observó que los atacantes abusaban de la IA de dos maneras. Una: les permitía realizar ciberataques tradicionales más rápido y a gran escala. La segunda implicaba manipular modelos y sistemas de IA para realizar nuevos tipos de ataques.
«Históricamente, cuando un atacante obtiene acceso inicial a un entorno, quiere moverse lateralmente a un controlador de dominio», dijo Whitmore. «Quieren extraer credenciales de Active Directory, quieren escalar privilegios. Ahora no vemos tanto eso. Lo que vemos es que obtienen acceso a un entorno de inmediato, van directamente al LLM interno y comienzan a consultar el modelo con preguntas y respuestas, y luego hacen que este realice todo el trabajo en su nombre».
Whitmore, junto con casi todos los demás ejecutivos de ciberseguridad con los que hemos hablado en los últimos meses, señaló el «ataque de Anthropic» como ejemplo.
Se refiere a las intrusiones digitales de septiembre en varias empresas y organizaciones gubernamentales de alto perfil, documentadas posteriormente por Anthropic. Ciberespías chinos utilizaron la herramienta Claude Code AI de la compañía para automatizar ataques de recopilación de información, y en algunos casos lo lograron.
Si bien Whitmore no prevé que los agentes de IA realicen ataques completamente autónomos este año, sí espera que la IA sea un multiplicador de fuerza para los intrusos de la red. «Veremos que estos equipos realmente pequeños tendrán casi la capacidad de grandes ejércitos», dijo. «Ahora pueden aprovechar las capacidades de la IA para realizar mucho más trabajo que antes requeriría un equipo mucho más grande».
Whitmore compara el auge actual de la inteligencia artificial con la migración a la nube que tuvo lugar hace dos décadas. «Las mayores brechas de seguridad que ocurrieron en entornos de nube no se debieron al uso de la nube en sí, sino a que se atacaron implementaciones de configuraciones de nube inseguras», afirmó. «Estamos observando muchos indicadores idénticos en lo que respecta a la adopción de la IA».
Para los responsables de seguridad de la información (CISO), esto significa establecer mejores prácticas en cuanto a las identidades de IA y dotar a los agentes y otros sistemas basados en IA de controles de acceso que los limiten únicamente a los datos y aplicaciones necesarios para realizar sus tareas específicas.
«Necesitamos asignarles el mínimo acceso posible y configurar controles para poder detectar rápidamente si un agente actúa de forma maliciosa», explicó Whitmore.
