El 90% de las organizaciones de la región EMEA ha experimentado algún incidente de seguridad relacionado con la IA agéntica durante el último año, y solo el 36% de ellas consiguió contenerlo en menos de 24 horas. Es lo que revela un nuevo estudio de ServiceNow, que advierte de los riesgos de seguridad derivados del uso de IA agéntica sin una gobernanza adecuada en las empresas.
El informe, titulado Deployed but ungoverned: the state of agentic security (Desplegados, pero sin gobernanza: el estado de la seguridad de la IA agéntica), recoge las respuestas de 3.766 altos responsables de seguridad y tecnología de organizaciones de todo el mundo, de los cuales 1.265 pertenecen a la región EMEA. Sus conclusiones llegan en un momento en el que los agentes de IA están dejando atrás las fases piloto para integrarse en los sistemas que sustentan el funcionamiento de hospitales, aeropuertos, fábricas, entidades financieras y otros sectores. Se trata de entornos en los que una sola acción sin los controles adecuados puede tener consecuencias graves para la sociedad.
«Los incidentes relacionados con la IA agéntica que han ocupado los titulares este año son una advertencia de lo que puede ocurrir cuando se despliega esta tecnología sin los controles adecuados», afirma Ben de Bont, director de Seguridad de la Información (CISO) de ServiceNow. «Las organizaciones no deberían tener que elegir entre avanzar rápidamente y gestionar los riesgos. Las que consigan hacerlo bien incorporarán la gobernanza desde el principio en el despliegue de sus agentes, de modo que puedan aprovechar las ventajas de la IA sin perder visibilidad ni control».
Las carencias en la gobernanza de la IA agéntica
Según el informe de ServiceNow, aunque muchos responsables de seguridad consideran que sus organizaciones cuentan con medidas de protección consolidadas para la IA agéntica, solo el 13% de las organizaciones a escala mundial dispone de programas de seguridad que cumplen los criterios establecidos en cinco ámbitos fundamentales: superficie de ataque, asignación de responsabilidades, seguridad desde el diseño, visibilidad y preparación para auditorías.
Actualmente, la mayor parte de la IA agéntica se gestiona mediante marcos de gobernanza tradicionales y sistemas que dependen de la intervención humana. En EMEA, menos de la mitad de las organizaciones dispone de marcos de gobernanza que abarquen los principales aspectos del despliegue de agentes de IA. Además, en el 56% de las organizaciones de la región la gobernanza de seguridad comienza una vez finalizada la fase de diseño de los agentes de IA, lo que indica que, en la mayoría de los casos, la seguridad se aborda de forma reactiva, en lugar de integrarse desde las primeras etapas del desarrollo.
Los agentes de IA aumentan la exposición al riesgo de las empresas
- El 50% de las organizaciones de EMEA ya utiliza entre 100 y 999 agentes de IA, mientras que el 34% utiliza 1.000 agentes o más.
- El 58% de los equipos de seguridad de la región dispone de un inventario completo y preciso de todos los agentes de IA en producción y cuenta con procedimientos para hacer un seguimiento de los cambios.
- El 24% de los equipos de seguridad ha detectado agentes de IA operativos que nunca habían sido registrados o cuya existencia se desconocía. Estos agentes pueden dar lugar a situaciones de shadow AI o IA en la sombra, que solo se descubren después de haber estado funcionando sin supervisión.
Los riesgos avanzan a la velocidad de las máquinas, pero la respuesta sigue dependiendo de las personas
- El 75% de las organizaciones de Europa, Oriente Medio y África afirma mantener un mapa completo y actualizado de los sistemas y recursos a los que puede acceder cada agente, pero solo el 23% puede supervisar en tiempo real más del 90% de sus agentes.
- Incluso las organizaciones capaces de detectar un problema a menudo no pueden detenerlo con suficiente rapidez. El 67% de los equipos de seguridad de la región no puede actuar automáticamente cuando un agente presenta un comportamiento anómalo, por lo que sigue siendo necesaria la intervención humana para aplicar medidas correctivas.
Reducir la brecha para recuperar el control
La solución Autonomous Security de ServiceNow ayuda a las empresas a pasar de un modelo de seguridad reactivo y fragmentado a otro basado en la prevención y la gobernanza autónoma, capaz de actuar más rápido de lo que la IA genera nuevos riesgos.
Bajo el principio Shift Zero, ServiceNow ayuda a las organizaciones a mantener su exposición al riesgo lo más cerca posible de cero en todo momento. Esto permite a las empresas demostrar qué están haciendo sus sistemas, por qué lo hacen y quién o qué es responsable de sus acciones, sin frenar el ritmo de adopción de la IA que exige el negocio.
Las organizaciones no deberían tener que elegir entre avanzar rápidamente y gestionar los riesgos
Este enfoque incluye las normas y los mecanismos de protección necesarios para adoptar la IA agéntica de forma segura, entre ellos un interruptor de emergencia (kill switch) y AI Passport.
«La innovación y la seguridad deben avanzar al mismo tiempo, no una después de la otra», señala Nadir Izrael, vicepresidente de Ciberseguridad y Riesgos de ServiceNow. «Ese es el
objetivo de Autonomous Security y Shift Zero: integrar la gobernanza desde el momento en que se desarrolla o despliega un agente, en lugar de añadirla posteriormente. Cuando la seguridad puede operar a la velocidad de las máquinas, deja de ser un freno para la adopción de la IA y se convierte en lo que permite ampliarla de forma segura».
