Zscaler advierte de que la rápida adopción de herramientas de IA generativa está creando una nueva superficie de ataque para las empresas, incorporando estas tecnologías mucho más rápido de lo que son capaces de protegerlas.
Así lo pone de manifiesto Mythos 2026, el nuevo estudio de Zscaler basado en el análisis de 38 grandes organizaciones de sectores como banca, sanidad, industria, energía o tecnología. El informe concluye que el 100% de las empresas analizadas mantiene expuestas sus herramientas corporativas de IA a posibles ataques externos, mientras que la puntuación media en seguridad específica para IA apenas alcanza los 10,5 puntos sobre 100. Ni siquiera la organización mejor preparada supera los 15 puntos, lo que refleja la escasa madurez de las estrategias de gobernanza de IA en el ámbito empresarial.
Ausencia de controles básicos de seguridad
La investigación muestra que muchas organizaciones están desplegando herramientas de IA sin incorporar controles básicos de seguridad. Chatbots corporativos, interfaces Model Context Protocol (MCP) o APIs de inferencia permanecen accesibles desde Internet sin mecanismos de autenticación o verificación de identidad, facilitando que los ciberdelincuentes puedan identificarlos y utilizarlos como punto de entrada a los sistemas corporativos.
Esta situación responde, en gran medida, a la velocidad con la que las organizaciones están adoptando la IA generativa. En muchos casos, las nuevas aplicaciones son desplegadas por departamentos de negocio o equipos de desarrollo al margen de los procesos habituales de revisión por parte de los responsables de ciberseguridad, ampliando de forma significativa la superficie de ataque.
La IA ya forma parte del perímetro de seguridad empresarial
Para Zscaler, la inteligencia artificial ha dejado de ser únicamente una herramienta de productividad para convertirse en un nuevo activo crítico que debe gestionarse bajo los mismos principios de seguridad que cualquier otra infraestructura corporativa.
«La IA está entrando en las organizaciones a una velocidad sin precedentes, pero la seguridad no está evolucionando al mismo ritmo. Muchas empresas siguen protegiendo sus aplicaciones tradicionales mientras dejan sin supervisión una nueva generación de herramientas de IA que ya manejan información sensible y procesos críticos del negocio. La gobernanza de la IA debe convertirse en una prioridad desde el primer momento, no cuando ya se ha producido una brecha de seguridad», afirma Sam Curry, Director de Seguridad de la Información en Zscaler.
Según el estudio, la falta de controles específicos sobre la IA no responde únicamente a una carencia tecnológica, sino también a la ausencia de procesos de gobernanza adaptados a esta nueva realidad. La rápida proliferación de copilots, asistentes virtuales y aplicaciones basadas en modelos de lenguaje está ampliando la superficie de exposición de las empresas mucho más rápido de lo que evolucionan sus estrategias de protección.
La gobernanza de la IA debe ser una prioridad desde el primer momento, no cuando se haya producido una brecha de seguridad
Para Zscaler, las organizaciones deben abordar la seguridad de la IA desde una perspectiva integral que incluya visibilidad sobre todos los activos de IA desplegados, autenticación de acceso, control de identidades, inspección del tráfico y políticas específicas de gobernanza capaces de acompañar el ritmo de adopción de esta tecnología.
