Un informe de Orca Security revela que la rápida adopción de inteligencia artificial en entornos de producción está ampliando la superficie de ataque y superando la capacidad de respuesta de los programas tradicionales de ciberseguridad. La inteligencia artificial ha dejado de ser un proyecto experimental para convertirse en parte de la infraestructura crítica de miles de organizaciones. Sin embargo, un nuevo informe de Orca Security revela que la mayoría de las vulnerabilidades conocidas en estos entornos continúa sin corregirse, exponiendo a empresas y gobiernos a nuevos riesgos operativos.

Claves que trae la noticia

• El 56 % de las organizaciones ya opera agentes de IA en producción.
• El 99,9 % de las vulnerabilidades corregibles permanece sin remediación.
• El 81 % utiliza paquetes de IA con fallas de seguridad conocidas.
• Las bases de datos vectoriales ya forman parte del ecosistema empresarial.
• La IA amplía la superficie de ataque en la nube.

Portland, Oregon, EE. UU de Norteamérica, 10 de julio de 2026.— La adopción de la inteligencia artificial empresarial avanza a una velocidad sin precedentes. Sin embargo, la seguridad parece quedarse atrás. El 2026 State of AI Security Report, elaborado por Orca Security a partir del análisis de más de 1.200 entornos de producción en la nube, concluye que la IA ya forma parte de aplicaciones críticas y flujos de trabajo corporativos, mientras una gran parte de las vulnerabilidades conocidas permanece sin corregirse, incrementando la exposición frente a ciberataques.

El desafío que enfrenta la industria

Durante años, las organizaciones concentraron sus estrategias de ciberseguridad en proteger servidores, aplicaciones y redes tradicionales on-premise. La irrupción de la inteligencia artificial cambia ese paradigma. Hoy, agentes autónomos, modelos generativos, bases de datos vectoriales y múltiples servicios de IA interactúan con información crítica del negocio, creando una superficie de ataque mucho más compleja que exige nuevos mecanismos de protección, gobernanza y monitoreo continuo.

La IA deja de ser un experimento para convertirse en infraestructura crítica

El informe de Orca Security muestra que la inteligencia artificial ya está plenamente integrada en los procesos empresariales.

Actualmente:

• 56 % de las organizaciones utiliza agentes de IA en producción.
• 51 % desarrolla aplicaciones propias basadas en IA.
• 64 % emplea bases de datos vectoriales.
• 55 % opera simultáneamente cuatro o más servicios de IA.

Este escenario confirma que la IA ya no funciona como una herramienta aislada, sino como parte integral de la infraestructura tecnológica corporativa.

La velocidad de adopción supera la capacidad de protección

Uno de los hallazgos más preocupantes del estudio de Orca Security es la brecha entre innovación y seguridad. El informe revela que:

• 81 % de las organizaciones utiliza paquetes de IA con vulnerabilidades conocidas.
• 99,9 % de las amenazas corregibles continúa sin remediarse.
• 50 % de las vulnerabilidades dispone ya de mecanismos públicos de explotación, una cifra 250 veces superior a la registrada en 2024.

Esta combinación incrementa significativamente el riesgo de explotación por parte de ciberdelincuentes.

Gil Geron: «La IA ya es infraestructura de producción»

El director ejecutivo y cofundador de Orca Security, Gil Geron, sostiene que el cambio más importante no radica únicamente en el crecimiento de la adopción, sino en el papel que la IA desempeña dentro de las organizaciones.

Lo que nos sorprendió no fue simplemente la rapidez con la que ha crecido la adopción de la IA, sino hasta qué punto está ahora integrada en los entornos de nube de producción». «No se trata solo de modelos aislados. Estamos viendo agentes de IA conectados a los datos de las empresas, que interactúan con identidades, acceden a servicios en la nube y pasan a formar parte de flujos de trabajo fundamentales para las empresas. La IA ya no es un experimento. Es infraestructura de producción. El número de desarrolladores ha aumentado exponencialmente y las organizaciones necesitan una seguridad que ofrezca una visibilidad completa y la confianza necesaria para innovar al ritmo de la IA sin introducir riesgos innecesarios».

Gil Geron explica que los agentes inteligentes interactúan hoy con identidades digitales, servicios en la nube, datos empresariales y procesos críticos, lo que exige nuevos niveles de visibilidad y confianza para innovar sin incrementar innecesariamente el riesgo.

La seguridad tradicional ya no basta

Para Nir Mashal, Chief Information Security Officer (CISO) de Orca Security, la expansión de la IA introduce una nueva capa operativa dentro de los entornos cloud.

La IA ha introducido una capa operativa totalmente nueva en los entornos en la nube. Las organizaciones cuentan ahora con agentes que toman decisiones, bases de datos de vectores conectadas a los datos de la empresa y servicios de IA repartidos entre múltiples proveedores de servicios en la nube. Los equipos de seguridad necesitan una visibilidad unificada de todo ese entorno, junto con medidas de prevención automatizadas, para comprender dónde se encuentra realmente el riesgo y detener a los atacantes antes de que se produzcan daños».

El especialista considera que proteger únicamente la infraestructura tradicional resulta insuficiente cuando múltiples agentes inteligentes, modelos, credenciales y bases de datos interactúan simultáneamente.

Tratar la IA como infraestructura mejora la seguridad

No todo el panorama es negativo. El informe identifica mejoras importantes cuando las organizaciones aplican disciplinas propias de infraestructura crítica. Entre ellas destacan:

• Amazon SageMaker ejecutándose con privilegios de root disminuyó del 98 % al 76 %.
• Las configuraciones inseguras de IMDSv2 descendieron del 77 % al 48 %.

Según Orca Security, estos resultados demuestran que integrar la seguridad desde el diseño permite reducir riesgos de forma medible.

La regulación acelera la madurez de la IA empresarial

Otro factor que comienza a modificar el panorama es la regulación. Orca Security recuerda que próximamente entrarán en vigor nuevas obligaciones relacionadas con:

• La Ley de IA de la Unión Europea, aplicable a sistemas de alto riesgo;
• La legislación sobre IA del estado de Colorado, en Estados Unidos.

Estas normativas impulsarán prácticas más rigurosas de gobernanza, gestión de credenciales, cifrado y monitoreo continuo.

Ampliando el contexto

La IA ya forma parte de la infraestructura crítica empresarial

La inteligencia artificial dejó de funcionar como una aplicación independiente. Hoy participa en procesos de negocio, automatización, análisis de datos y toma de decisiones, por lo que requiere controles de seguridad equivalentes a los de cualquier sistema crítico.

¿Por qué las bases de datos vectoriales son tan importantes?

Las bases de datos vectoriales almacenan representaciones matemáticas que permiten a los modelos de IA recuperar información relevante mediante similitud semántica. Constituyen uno de los componentes esenciales de los sistemas modernos de IA generativa y agentes inteligentes.

El nuevo reto para los CISO

La incorporación masiva de agentes autónomos obliga a los responsables de seguridad a ampliar la visibilidad sobre identidades, modelos, servicios cloud y credenciales, integrando la seguridad de la IA dentro de la estrategia global de gestión del riesgo empresarial.

Relación con la evolución de la IA empresarial

La creciente adopción de agentes inteligentes confirma que la IA está evolucionando desde aplicaciones puntuales hacia plataformas capaces de ejecutar procesos de negocio completos. Esta transformación incrementa el valor estratégico de la inteligencia artificial, pero también exige nuevos modelos de gobernanza, observabilidad y ciberseguridad para preservar la confianza digital.

¿Por qué es relevante?

Para los CIO, CTO, CISO y líderes empresariales, la inteligencia artificial representa una oportunidad para acelerar la innovación, pero también introduce nuevos vectores de ataque. Tratar la IA como infraestructura crítica implica incorporar seguridad, gobernanza y monitoreo desde las primeras etapas del ciclo de vida, reduciendo riesgos operativos y regulatorios antes de que afecten la continuidad del negocio.

Visión Estratégica

La seguridad de la inteligencia artificial se perfila como una de las prioridades tecnológicas más relevantes de los próximos años. A medida que las organizaciones integren agentes autónomos, modelos generativos y bases de datos vectoriales en procesos esenciales, la protección dejará de centrarse únicamente en servidores o aplicaciones para abarcar ecosistemas completos de IA.

Para el Perú y y para América Latina, este escenario representa una oportunidad para adoptar la IA con una visión más madura, incorporando desde el inicio principios de Security by Design, gestión de identidades, cifrado, monitoreo continuo y cumplimiento normativo. Las organizaciones que integren estas capacidades estarán mejor preparadas para innovar con confianza, fortalecer su resiliencia digital y responder a un entorno regulatorio cada vez más exigente.

Datos citables

• El 56 % de las organizaciones ya utiliza agentes de IA en producción.
• El 51 % desarrolla aplicaciones personalizadas basadas en IA.
• El 81 % utiliza paquetes de IA con vulnerabilidades conocidas.
• El 99,9 % de las amenazas corregibles permanece sin remediación.
• El 64 % utiliza bases de datos vectoriales.
• El 55 % opera cuatro o más servicios de IA simultáneamente.
• El 50 % de las vulnerabilidades de IA ya cuenta con mecanismos públicos de explotación.
• Amazon SageMaker redujo el uso de acceso root del 98 % al 76 %.
• Las configuraciones inseguras de IMDSv2 descendieron del 77 % al 48 %.

Knowledge Layer | Glosario IT/USERS®

¿Qué es un agente de IA?

Un agente de inteligencia artificial es un sistema capaz de ejecutar tareas, tomar decisiones y utilizar herramientas digitales con un cierto grado de autonomía para alcanzar un objetivo definido. A diferencia de un chatbot tradicional, puede interactuar con múltiples aplicaciones y procesos empresariales.

¿Qué es una base de datos vectorial?

Una base de datos vectorial almacena información en forma de vectores matemáticos que representan el significado semántico de textos, imágenes u otros contenidos. Permite que los modelos de IA recuperen información relevante mediante similitud conceptual en lugar de búsquedas por palabras exactas.

¿Qué significa infraestructura de producción?

Es el conjunto de sistemas tecnológicos que soportan las operaciones reales de una organización. Cuando una solución de IA pasa a producción, deja de ser experimental y comienza a participar directamente en procesos críticos del negocio.

¿Qué es Amazon SageMaker?

Amazon SageMaker es una plataforma de AWS que permite desarrollar, entrenar, implementar y administrar modelos de aprendizaje automático e inteligencia artificial a gran escala en la nube.

¿Qué es el principio de privilegio mínimo?

El principio de privilegio mínimo establece que usuarios, aplicaciones y sistemas solo deben disponer de los permisos estrictamente necesarios para realizar sus funciones, reduciendo el riesgo de accesos indebidos o movimientos laterales durante un ciberataque.

¿Qué es IMDSv2?

Instance Metadata Service Version 2 (IMDSv2) es un mecanismo de seguridad de Amazon Web Services que protege el acceso a los metadatos y credenciales de las instancias virtuales, dificultando ataques dirigidos a la infraestructura cloud.

¿Qué es Security by Design?

Security by Design es una metodología que incorpora controles de ciberseguridad desde las primeras fases del diseño y desarrollo de aplicaciones, infraestructuras o sistemas de IA, en lugar de añadirlos una vez que el proyecto ya está en funcionamiento.

¿Qué es la gobernanza de la IA?

La gobernanza de la inteligencia artificial comprende el conjunto de políticas, procesos y controles destinados a garantizar que los sistemas de IA sean seguros, transparentes, éticos, auditables y cumplan con las normativas aplicables.

🗣️ Tu Opinión Importa

La inteligencia artificial está dejando de ser una tecnología experimental para integrarse en procesos críticos de negocio, desde la automatización hasta la toma de decisiones. En este nuevo escenario, la ciberseguridad ya no puede considerarse una etapa posterior: debe formar parte del diseño y la operación de cada sistema de IA. ¿Crees que las organizaciones en Perú y América Latina están preparadas para proteger agentes de IA, modelos generativos y datos empresariales con el mismo nivel de rigor que aplican a su infraestructura crítica tradicional? Comparte tu opinión y participa en la conversación con la comunidad de IT/USERS® Magazine. ツ

Apoya al Periodismo Independiente

¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457