La rápida incorporación de herramientas de inteligencia artificial generativa a los entornos corporativos está abriendo una nueva superficie de ataque que muchas organizaciones todavía no están preparadas para proteger. Esa es una de las principales conclusiones de un estudio interno realizado por Zscaler, denominado Mythos 2026, que analiza el nivel de seguridad de 38 grandes organizaciones de sectores como banca, sanidad, industria, energía y tecnología.
Según el análisis, todas las empresas evaluadas mantenían expuestas a Internet alguna de sus herramientas corporativas de IA, mientras que la puntuación media obtenida en materia de seguridad específica para estos entornos apenas alcanzó los 10,5 puntos sobre 100. De hecho, ninguna de las organizaciones analizadas superó los 15 puntos, un resultado que, según Zscaler, refleja el escaso grado de madurez que todavía presentan las estrategias de gobernanza de la inteligencia artificial.
El estudio atribuye esta situación a la velocidad con la que las organizaciones están desplegando aplicaciones basadas en IA generativa. En muchos casos, explica la compañía, estas iniciativas son impulsadas directamente por áreas de negocio o equipos de desarrollo sin pasar por los procesos habituales de revisión de los departamentos de ciberseguridad, lo que incrementa la superficie de exposición.
Entre los elementos identificados figuran chatbots corporativos, interfaces basadas en Model Context Protocol (MCP) o APIs de inferencia accesibles desde Internet sin mecanismos adecuados de autenticación o verificación de identidad. Según el estudio, este tipo de configuraciones facilita que un atacante pueda localizar estos servicios y utilizarlos como posible punto de entrada a la infraestructura corporativa.
El estudio sostiene que la falta de protección no responde únicamente a carencias tecnológicas, sino también a la ausencia de procesos de gobierno adaptados a esta nueva realidad.
Como respuesta, Zscaler recomienda abordar la seguridad de la IA desde una perspectiva integral, que incluya visibilidad sobre todos los activos de IA desplegados, autenticación de acceso, control de identidades, inspección del tráfico y políticas específicas de gobernanza capaces de acompañar el ritmo de adopción de estas tecnologías.
