Un estudio reciente realizado por Zscaler, líder en ciberseguridad en la era de la inteligencia artificial, ha revelado una preocupante tendencia en el ámbito de la seguridad corporativa relacionada con las herramientas de IA generativa. El informe, denominado Mythos 2026, analizó a 38 grandes organizaciones de sectores como banca, sanidad, industria, energía y tecnología, y encontró que el 100 % de las empresas evaluadas mantiene sus herramientas de IA expuestas a posibles ataques externos. La puntuación media en seguridad específica para IA fue de apenas 10,5 puntos sobre 100, lo que subraya la falta de madurez en las estrategias de protección de estas tecnologías.

El informe destaca que la rápida adopción de las herramientas de IA generativa está creando una nueva superficie de ataque para las empresas. Muchas organizaciones están implementando estas tecnologías sin incorporar controles básicos de seguridad, dejando vulnerables elementos como chatbots corporativos, interfaces de Model Context Protocol (MCP) o APIs de inferencia. Estos recursos, accesibles desde Internet sin mecanismos de autenticación o verificación de identidad, se convierten en puntos de entrada ideales para ciberdelincuentes.

Esta situación se debe, en gran medida, a la velocidad con la que las empresas están adoptando la IA generativa. En muchos casos, las nuevas aplicaciones son desplegadas por departamentos de negocio o equipos de desarrollo sin pasar por los procesos habituales de revisión por parte de los responsables de ciberseguridad. Este enfoque acelerado amplía significativamente la superficie de ataque y deja a las organizaciones expuestas a riesgos críticos.

Para Zscaler, la inteligencia artificial ya no es solo una herramienta de productividad, sino un activo crítico que debe gestionarse con los mismos principios de seguridad que cualquier otra infraestructura corporativa. Sin embargo, la seguridad no está evolucionando al mismo ritmo que la adopción de la IA. Según Sam Curry, director de Seguridad de la Información en Zscaler, «muchas empresas siguen protegiendo sus aplicaciones tradicionales mientras dejan sin supervisión una nueva generación de herramientas de IA que ya manejan información sensible y procesos críticos del negocio». Curry advierte que la gobernanza de la IA debe convertirse en una prioridad desde el principio, no después de que se haya producido una brecha de seguridad.

El estudio también señala que la falta de controles específicos sobre la IA no se debe únicamente a una carencia tecnológica, sino también a la ausencia de procesos de gobernanza adaptados a esta nueva realidad. La rápida proliferación de copilots, asistentes virtuales y aplicaciones basadas en modelos de lenguaje está ampliando la superficie de exposición de las empresas mucho más rápido de lo que evolucionan sus estrategias de protección.

Zscaler enfatiza la necesidad de abordar la seguridad de la IA desde una perspectiva integral que incluya visibilidad sobre todos los activos de IA desplegados, autenticación de acceso, control de identidades, inspección del tráfico y políticas específicas de gobernanza que puedan acompañar el ritmo de adopción de esta tecnología. En un mundo donde la IA está desempeñando un papel cada vez más crítico en las operaciones empresariales, su protección debe ser una prioridad máxima para garantizar la integridad y seguridad de los sistemas corporativos.