Las empresas están ensanchando su superficie de ataque con despliegues de inteligencia artificial en los que queda sin parchear el 99,9% de las vulnerabilidades corregibles detectadas en estos entornos. La seguridad va por detrás del ritmo al que se lanzan servicios, agentes y paquetes de software con IA, y el problema ya tiene menos que ver con escenarios remotos que con algo mucho más básico: higiene mínima para los equipos de ciberseguridad.
la brecha de parcheo, como ya se la conoce, empieza a perfilarse como uno de los mayores riesgos del sector. Los datos son bastante crudos: estos sistemas de IA llegan a detectar unas 25 vulnerabilidades confirmadas al día, pero los desarrolladores solo corrigen alrededor de 1,5 en ese mismo margen de tiempo.
Y aun cuando el parche ya existe, llevarlo a todos los entornos puede tomar entre tres y cinco meses.
Ese retraso pesa porque la IA ya está muy metida en producción. Más de la mitad de las organizaciones han puesto en marcha agentes de IA, y una proporción parecida ya la usa para desarrollar aplicaciones a medida.
Muchas veces, el lanzamiento llega primero. Las políticas maduras de gestión de riesgos, la revisión de código y los controles de acceso aparecen después, cuando aparecen.
Además, una parte importante del riesgo no nace de fallos especialmente complejos, sino de errores de manual. Se repiten la ausencia de cifrado, las credenciales mal gestionadas y unos privilegios demasiado amplios en servicios cloud. Con eso basta para facilitar el movimiento lateral de un atacante y agravar el impacto de cualquier intrusión.
Para las empresas, el reto tampoco se limita a encontrar un fallo. Luego hay que saber dónde está desplegado y qué dependencias toca.
Cuando el entorno mezcla modelos, APIs, librerías de código abierto y servicios en la nube, la visibilidad sigue siendo escasa. Así se entiende mejor por qué tantos fallos conocidos siguen expuestos durante meses.
Y mientras las organizaciones van a la carrera para proteger sus despliegues de IA, los ciberdelincuentes ya están aprovechando esa misma IA para automatizar campañas de phishing, crear malware adaptativo y acelerar el hallazgo de vulnerabilidades en tiempo real.
Una previsión sitúa en 28 millones los incidentes cibernéticos impulsados por IA en 2025, un 72% más que el año anterior. La reacción del sector, aun así, empieza a dibujarse: Anthropic, Amazon Web Services (AWS), IBM y Microsoft se han agrupado en la coalición Akrites para abordar fallos en software de código abierto; al mismo tiempo, organismos de EE. UU., entre ellos el Departamento del Tesoro de Estados Unidos y la Cybersecurity and Infrastructure Security Agency (CISA), ya han publicado guías de ciberseguridad específicas.
Pero el riesgo no se reparte de la misma manera. Regiones con menor capacidad defensiva, como partes de África, América Latina y el Sudeste Asiático, pueden quedar más expuestas a medida que aceleren su adopción de la IA.
También inquietan las pymes y las infraestructuras críticas. Ahí conviven sistemas heredados, dependencia de terceros y falta de talento especializado.
Para el mercado, el mensaje cae por su propio peso: la cuestión ya no es si estas plataformas de IA van a tener fallos, sino si las empresas podrán corregirlos antes de que alguien los aproveche. Nadie sabe todavía cuándo empezará a cerrarse esta brecha.
