Casi la mitad del uso de IA empresarial elude la seguridad corporativa y crea lagunas de visibilidad

La adopción acelerada de herramientas de inteligencia artificial en las empresas ha dejado al descubierto un problema crítico: casi la mitad de su uso escapa a los controles de seguridad establecidos. Esto no se debe a un fallo técnico puntual, sino a un cambio en cómo los empleados integran estas tecnologías en su trabajo diario. Desde desarrolladores que confían en asistentes de código hasta comerciales que optimizan informes con extensiones de navegador, la IA se ha colado en los procesos sin que los equipos de ciberseguridad hayan podido adaptar sus defensas a tiempo.

Tres amenazas que ya están aquí

Los investigadores han identificado métodos de ataque diseñados específicamente para explotar estos nuevos hábitos. Uno de ellos, bautizado como "Vie Hacking", consiste en manipular archivos locales de instrucciones (como los de formato Markdown) para engañar a los asistentes de programación. El resultado es que la IA genera código vulnerable o ejecuta acciones no autorizadas sin que el usuario lo note, mezclándose con su flujo de trabajo habitual. Otro riesgo, el "CursorJacking", afecta a las extensiones de navegador no autorizadas: estas recopilan silenciosamente claves de API, fragmentos de código propietario e incluso conversaciones internas, aprovechando permisos excesivos. Pero quizá el más preocupante sea el "CometJacking", que secuestra agentes de IA locales incrustando instrucciones maliciosas en páginas web públicas. Una vez comprometido, el agente puede robar archivos, correos electrónicos o credenciales de sesión sin dejar rastro.

El informe destaca que estos ataques no buscan vulnerabilidades técnicas tradicionales, sino que explotan la confianza que los usuarios depositan en las herramientas de IA. Por ejemplo, el 75% de las extensiones de navegador con capacidades de IA requieren permisos altos o críticos, y un 16% contiene fallos de seguridad conocidos. La rapidez con la que se han adoptado estas soluciones ha dejado poco margen para evaluar riesgos, y muchos empleados las utilizan sin supervisión, creando lo que se conoce como "IA en la sombra": herramientas no autorizadas que operan fuera del radar corporativo.

Para contrarrestar estos riesgos, los expertos recomiendan cinco medidas clave. La primera es identificar y monitorizar a los "usuarios avanzados" de IA —aproximadamente el 5% de la plantilla—, que generan la mayoría de las interacciones con estas herramientas y, por tanto, concentran los mayores riesgos. También es fundamental eliminar la IA en la sombra mediante sistemas de inicio de sesión único (SSO) y detección continua de plataformas no autorizadas. En cuanto a la protección de datos, ya no basta con herramientas estáticas de prevención de fugas (DLP): ahora es necesario analizar en tiempo real las instrucciones que se envían a la IA, los portapapeles y los documentos adjuntos. Las extensiones de navegador, por su parte, deben tratarse como software de alto riesgo, limitando sus permisos y revisando regularmente sus vulnerabilidades. Por último, los agentes de IA autónomos —que actúan en nombre de los empleados— requieren límites estrictos de privilegios y supervisión constante de su comportamiento.

Qué significa para tu negocio

Si en tu pyme utilizáis herramientas de IA para tareas como redactar contratos, analizar planos de obra o gestionar bases de datos de clientes, esta noticia os afecta directamente. El riesgo no está en la tecnología en sí, sino en cómo se integra en vuestros procesos. Por ejemplo, un comercial que use una extensión de navegador para resumir correos con IA podría estar exponiendo sin saberlo información sensible de clientes. O un técnico que confíe en un asistente de código para generar scripts podría estar introduciendo vulnerabilidades en vuestros sistemas. La solución no es prohibir estas herramientas, sino establecer reglas claras: definir qué plataformas están permitidas, revisar los permisos de las extensiones que instaláis y formar a vuestro equipo para que identifique comportamientos sospechosos. En un sector como el vuestro, donde la confidencialidad de los datos es clave —desde proyectos de reforma hasta contratos inmobiliarios—, un pequeño descuido puede convertirse en un problema grave. La IA es una aliada, pero solo si se usa con los mismos controles que aplicaríais a cualquier otra herramienta crítica de vuestro negocio.