Patrick PilotteLa inteligencia artificial está transformando la ciberseguridad en ambos bandos de la contienda. Los equipos de seguridad la utilizan para automatizar la detección de amenazas, acelerar las investigaciones y reducir la fatiga por alertas. Los atacantes emplean la misma tecnología para lanzar campañas más rápidas, más convincentes y más escalables.
La pregunta ya no es si la IA afecta a su estrategia de seguridad. Ya lo hace. La verdadera pregunta es si sus cimientos pueden resistir ataques que ahora se desarrollan en minutos en lugar de días, y si sabe qué le permite hacer realmente una credencial robada una vez que funciona.
Esa segunda pregunta es una cuestión de identidad. También es la que la mayoría de las organizaciones no pueden responder con rapidez.
La IA está acelerando ataques conocidos, no inventando otros nuevos
La mayor parte de la cobertura sobre la IA en ciberseguridad se centra en técnicas de ataque novedosas. Los datos medidos apuntan a algo menos espectacular y más práctico: la IA está haciendo que los ataques conocidos sean más rápidos y baratos, no fundamentalmente distintos.
El informe DBIR 2026 (Data Breach Investigations Report) de Verizon analizó la actividad de atacantes asistidos por IA en colaboración con Anthropic, abarcando 793 actores de amenazas sancionados por infringir políticas entre marzo de 2025 y febrero de 2026. En el caso mediano, esos actores recurrieron a asistencia de IA en unas 15 técnicas distintas de MITRE ATT&CK, y menos del 2,5 % de las técnicas observadas se clasificaron como poco frecuentes. La actividad relacionada con el phishing representó el 44 % del acceso inicial asistido por IA.
Dicho de otro modo, los atacantes están usando la IA como herramienta operativa para escalar técnicas que los defensores ya conocen, no para desbloquear otras desconocidas.
Esto influye en cómo debe priorizar. Tareas que antes requerían horas de preparación manual ahora tardan segundos: correos de phishing personalizados que imitan el estilo de escritura de un compañero, campañas de ingeniería social multilingües, investigación de objetivos recopilada de fuentes públicas y deepfakes de voz o vídeo utilizados para suplantar a directivos. Nunca ha sido tan bajo el listón para lanzar una campaña eficaz, y la ventana para detectar una cuenta comprometida antes de que empiece el movimiento lateral se reduce cada vez más.
Las técnicas son reconocibles. Los plazos no.
Sobre el phishing generado por IA: Cómo el phishing impulsado por IA ha cambiado el aspecto de un correo sospechoso
Los atacantes entran por vulnerabilidades y luego se mueven con credenciales
Aquí es donde los datos de 2026 se vuelven interesantes, y donde buena parte del discurso sobre seguridad de identidad ha quedado desactualizado.
Por primera vez en los 19 años de historia del DBIR, la explotación de vulnerabilidades se convirtió en el vector de acceso inicial más común, con un 31 % de las brechas, frente al 20 % del año anterior. El abuso de credenciales como vector inicial independiente cayó al 13 %. Si solo lee el titular, concluiría que las amenazas relacionadas con la identidad están retrocediendo.
Los datos completos sobre las brechas dicen lo contrario. Cuando Verizon contabiliza el abuso de credenciales en cualquier punto de la progresión de la brecha, y no solo en el primer paso, aparece en el 39 % de las brechas, más que cualquier otra técnica individual del conjunto de datos. Las credenciales robadas se mantienen estables en el 36 % de las variedades de acciones de brecha. En las brechas de intrusión en sistemas, las credenciales robadas y las vulnerabilidades explotadas son igual de habituales, con un 39 % cada una.
El patrón es de dos etapas:
- La entrada procede cada vez más de una aplicación sin parchear, un proveedor comprometido, un servicio remoto expuesto o un paquete malicioso.
- El movimiento sigue dependiendo de las credenciales: contraseñas, claves de API, tokens de OAuth, credenciales de cuentas de servicio, claves de la nube, tokens de despliegue y cualquier permiso permanente asociado a ellas.
Esta distinción tiene una consecuencia práctica que la gestión de vulnerabilidades por sí sola no puede resolver. Puede parchear el fallo, eliminar el paquete malicioso y reconstruir el host, y aun así dejar en circulación una clave de API copiada o una contraseña de cuenta de servicio. Esa credencial sigue funcionando hasta que alguien la encuentra y la revoca.
El Digital Defense Report 2025 de Microsoft refuerza el mismo argumento con otro conjunto de datos: los ataques basados en identidad aumentaron un 32 % en el primer semestre de 2025, y más del 97 % fueron ataques de contraseña a gran escala (pulverización de contraseñas y fuerza bruta contra credenciales predecibles o reutilizadas).
Así pues, la identidad no suele ser la vía de entrada inicial de los atacantes. En la ciberseguridad moderna, a menudo entran a través de vulnerabilidades o servicios expuestos, pero la identidad es lo que determina hasta dónde pueden llegar, con qué rapidez pueden moverse y cuánto acaba costando la brecha.
Esto se debe a que el “perímetro” ya no es un límite de red fijo. Los servicios en la nube, los usuarios remotos, las aplicaciones SaaS y las cargas de trabajo automatizadas operan en ubicaciones cambiantes y entornos dinámicos. Como resultado, la identidad y los controles de acceso se convierten en la capa de aplicación coherente para cada solicitud, ya proceda de un portátil, una sesión de navegador, una llamada a la API o una credencial de carga de trabajo.
Aplicar parches reduce la probabilidad de que la puerta se abra. La gobernanza de identidad determina lo que hay detrás de ella: a qué sistemas puede llegar un atacante, qué privilegios puede aprovechar y qué riesgos puede contener antes de que el movimiento lateral se acelere.
Sobre la identidad como nuevo perímetro: Por qué la identidad es el nuevo perímetro y cómo pueden defenderlo las pymes con recursos limitados
Las identidades no humanas son el punto ciego que más rápido crece
Una identidad no humana (también llamada identidad de máquina o identidad de carga de trabajo) es cualquier entidad que posee credenciales y no es una persona: cuentas de servicio, aplicaciones, cargas de trabajo, scripts, canalizaciones de CI/CD, bots y, cada vez más, agentes de IA. En seguridad de IA, estas identidades son las que permiten a los agentes autenticarse en los sistemas, recuperar datos, invocar API y realizar acciones autorizadas como parte de los procesos de negocio, sin que una persona inicie sesión.
Los riesgos derivan de cómo se gestionan habitualmente estas identidades: suelen tener permisos elevados, es posible que no cuenten con controles de autenticación sólidos y pueden ser difíciles de rastrear o revocar con rapidez. Cuando las credenciales de un agente de IA se comparten, tienen privilegios excesivos o están mal gobernadas, un compromiso puede traducirse en un acceso rápido y escalable, porque el agente puede seguir actuando con los permisos que se le concedieron.
Actualmente superan en número a las identidades humanas en la mayoría de los entornos, y se gobiernan con mucho menos rigor. El informe de Microsoft de 2025 señala que los atacantes están desplazando deliberadamente su atención hacia las cuentas de servicio y sus credenciales, precisamente porque estas cuentas suelen combinar privilegios elevados con controles de seguridad débiles. Una cuenta de servicio rara vez tiene MFA, a menudo tiene una contraseña que no se ha rotado en años, con frecuencia dispone de más permisos de los que exige su función y normalmente no tiene un propietario claro que note un comportamiento extraño.
Cuatro controles cierran la mayor parte de esta brecha:
- Inventaríelas. No se puede gobernar lo que no se ha catalogado. Incluya cuentas de servicio, cuentas de emergencia (break-glass), claves de API y credenciales de agentes, y asigne un propietario nominal a cada una.
- Delimite sus permisos. Una cuenta de servicio debe contar con el conjunto más reducido de derechos que exija su función, sobre el conjunto más reducido de sistemas.
- Gestione sus secretos de forma centralizada. Guarde las credenciales en una bóveda, rótelas según un calendario y elimine los secretos compartidos o codificados de forma fija.
- Haga que su actividad sea auditable. Si una identidad de carga de trabajo empieza a autenticarse desde una ubicación nueva o a acceder a sistemas a los que nunca había accedido, alguien debería verlo.
Las identidades de máquina sin gobernar son la forma en que los atacantes se mueven por un entorno más rápido de lo que un equipo puede responder, y son la categoría con más probabilidades de pasarse por alto en una revisión de accesos centrada en los empleados.
La IA también ayuda a los defensores, pero la adopción es el cuello de botella
Los equipos de seguridad están obteniendo un valor real de la IA. Las plataformas modernas correlacionan millones de eventos en tiempo real, detectan anomalías, agrupan alertas relacionadas y resumen incidentes complejos en segundos. En la práctica, esto significa que los analistas dedican menos tiempo a la clasificación y más a los incidentes que realmente importan: priorizar alertas de alto riesgo, acelerar la respuesta, recomendar medidas correctivas y automatizar tareas operativas repetitivas.
La brecha está en el despliegue, no en la capacidad. La encuesta de Devolutions sobre el estado de la seguridad de TI en pymes reveló que el 71 % de las pymes planean aumentar su uso de la IA en ciberseguridad, pero solo el 25 % la utiliza hoy en día y el 40 % ni siquiera ha empezado. Mientras tanto, menos de un tercio de los encuestados afirmó poder identificar un ataque con la rapidez suficiente para limitar el daño.
Esta es la incómoda combinación: los atacantes ya han puesto la IA en marcha, y la mayoría de los defensores la tienen en su hoja de ruta.
Conviene aclarar qué puede y qué no puede solucionar la IA. Comprime el tiempo de detección e investigación. No compensa los privilegios excesivos, los secretos sin gestionar ni una cuenta de administrador que nadie recuerda haber creado. Un centro de operaciones de seguridad asistido por IA que detecta una cuenta comprometida en 4 minutos en lugar de 40 le ha proporcionado tiempo real, pero solo si los permisos de esa cuenta son lo bastante limitados como para que ese tiempo tenga sentido.
Sobre la carrera armamentística de la IA: IA ofensiva frente a IA defensiva: ¿quién lleva la ventaja en 2026?
Los fundamentos determinan el alcance del daño
Con la IA dominando la conversación, resulta tentador creer que la próxima generación de herramientas resolverá el problema de fondo. No lo hará, por una razón sencilla: los controles que limitan el daño después de un compromiso son los mismos de siempre. Lo que ha cambiado es la rapidez con la que se encuentra y explota una brecha.
Las organizaciones que reducen el riesgo de forma constante siguen una secuencia reconocible:
- Aplicar el principio de mínimo privilegio, de modo que cada cuenta tenga únicamente los derechos que exige su función
- Proteger las cuentas privilegiadas mediante la gestión de accesos privilegiados (PAM)
- Implementar autenticación multifactor resistente al phishing en el acceso privilegiado y los sistemas críticos
- Gestionar los secretos y las cuentas de servicio de forma centralizada, con rotación
- Revisar y certificar el acceso de los usuarios con una periodicidad definida
- Supervisar la actividad privilegiada de forma continua
- Implementar el acceso privilegiado Just-in-time (JIT) siempre que se pueda eliminar el acceso permanente
Ninguno de estos elementos es nuevo. Dos de ellos son ahora especialmente decisivos.
El primero es la MFA resistente al phishing: autenticación criptográfica robusta que utiliza claves de acceso (passkeys), llaves de seguridad FIDO2 o métodos basados en certificados para vincular el inicio de sesión al servicio legítimo y resistir el reenvío de credenciales. En la práctica, significa que un atacante que roba una contraseña sigue sin poder completar la autenticación, porque el segundo factor no puede reproducirse ni interceptarse como los códigos de un solo uso tradicionales.
Utilícela primero para las cuentas privilegiadas y los sistemas críticos, y amplíela al acceso remoto y a otros puntos de entrada de alto riesgo donde es más probable que se usen credenciales robadas. Se trata de una de las defensas con mayor impacto en ciberseguridad, porque reduce directamente los riesgos derivados del robo de credenciales: rompe el camino entre “robada” y “utilizable”, limitando las amenazas que un compromiso de identidad puede convertir en una brecha real.
El segundo es la reducción del privilegio permanente. El mínimo privilegio limita lo que puede hacer cualquier usuario, cuenta de servicio o carga de trabajo; el control de acceso basado en roles (RBAC) asigna permisos según la función laboral y no según el historial de solicitudes. Juntos, limitan el número de acciones que un atacante puede realizar con una credencial que funciona, restringen el movimiento lateral y contienen el alcance del daño. La misma encuesta reveló que el 52 % de las pymes siguen gestionando el acceso privilegiado de forma manual (hojas de cálculo, bóvedas compartidas o ningún sistema formal) y solo el 32 % utiliza una herramienta de PAM dedicada. Los procesos manuales introducen errores, dificultan la visibilidad y retrasan la revocación justo cuando más importa la rapidez.
Cuando los atacantes automatizan el reconocimiento y la escalada de privilegios, cada permiso innecesario, cada cuenta inactiva y cada secreto sin gestionar se convierten en una oportunidad que se descubre antes que nunca.
Sobre el acceso elevado: Cómo PIM y PAM, en conjunto, convierten la elevación de privilegios en eventos breves, auditables y gobernados
El acceso condicional convierte la identidad en un control en tiempo real
La autenticación en el inicio de sesión es una única comprobación en un único momento. El acceso condicional y la verificación continua convierten la identidad en un control permanente.
El acceso condicional evalúa señales (identidad del usuario, estado del dispositivo, ubicación, comportamiento y sensibilidad del recurso solicitado) y decide si permite, restringe o bloquea la solicitud. La verificación continua vuelve a evaluar después esas señales durante la sesión. Si el riesgo aumenta a mitad de la sesión porque un dispositivo deja de cumplir las políticas, un patrón de ubicación resulta imposible o el comportamiento se desvía de lo habitual, el sistema puede reforzar la autenticación, reducir los permisos o finalizar la sesión.
El valor está en los tiempos. Estos controles acortan el intervalo entre el robo de una credencial y el momento en que esa credencial deja de funcionar, que es precisamente el intervalo que los ataques acelerados por IA están diseñados para aprovechar.
La visibilidad es lo que realmente le falta
La pregunta más habitual tras un incidente es sorprendentemente sencilla: ¿por qué esa cuenta seguía teniendo acceso?
La respuesta suele ser la visibilidad, no la tecnología. La mayoría de las organizaciones ya cuentan con herramientas capaces de responder a esa pregunta. Pocas pueden hacerlo en minutos.
Pruebe estas cinco preguntas en su propio entorno:
- ¿Quién tiene actualmente privilegios de administrador?
- ¿Qué cuentas privilegiadas llevan 90 días o más sin utilizarse?
- ¿Qué concesiones de acceso temporal nunca se revocaron?
- ¿Dónde se almacenan las credenciales de las cuentas de servicio, y cuándo se rotaron por última vez?
- ¿Qué identidades pueden acceder hoy a sus sistemas más críticos?
Si responder a cualquiera de estas preguntas le lleva horas o días, un atacante que opere con una credencial robada tiene más información sobre su entorno que usted. Una gobernanza de identidad sólida es lo que convierte estas preguntas en simples consultas en lugar de investigaciones.
Sobre lo que se avecina: Tendencias de ciberseguridad en 2026: identidad, IA y respuesta a incidentes
Lo que importa no es cuánta IA tenga
La IA seguirá evolucionando en ambos frentes. Los atacantes le encontrarán nuevas aplicaciones; los defensores seguirán mejorando la detección, la automatización y la respuesta. Esa carrera armamentística no se está frenando.
Pero las organizaciones que salgan bien paradas no serán las que tengan más IA. Serán las que ejerzan el control más estricto sobre identidades, privilegios y accesos, porque ese control es lo que determina el coste de una brecha que ya se ha puesto en marcha.
En Devolutions, tratamos la seguridad de identidad como un pilar fundamental, no como una característica más. La IA puede ayudarle a detectar más rápido y a operar con mayor eficiencia. No puede sustituir una gobernanza de identidad disciplinada ni unos controles de acceso privilegiado sólidos.
Cuando ocurre un incidente, la pregunta importante no es si la IA estuvo implicada. Es qué le permitía hacer esa identidad comprometida.
Consulte los datos: Informe de la encuesta de Devolutions sobre el estado de la seguridad de TI en pymes: adopción de PAM, preparación para la IA y brechas en la respuesta a incidentes
Preguntas frecuentes
Estas respuestas breves resumen las cuestiones de identidad más importantes en un momento en que la IA está acelerando ataques conocidos: cómo empiezan, cómo se propagan y qué controles limitan realmente el daño.
¿La IA está creando nuevas técnicas de ciberataque o solo versiones más rápidas de las existentes?
Principalmente, versiones más rápidas. El análisis del DBIR 2026 de Verizon sobre 793 actores de amenazas sancionados reveló que, en el caso mediano, los atacantes utilizaron IA en unas 15 técnicas conocidas de MITRE ATT&CK, y menos del 2,5 % de las técnicas observadas se clasificaron como poco frecuentes. El principal efecto de la IA es comprimir el tiempo de preparación y aumentar la escala y la calidad de ataques ya conocidos, en particular el phishing, que representó el 44 % del acceso inicial asistido por IA, más que introducir métodos de ataque novedosos.
Si la explotación de vulnerabilidades es ahora el principal vector de acceso inicial, ¿por qué sigue importando la seguridad de identidad?
Porque el acceso inicial es solo el primer paso. El DBIR 2026 reveló que la explotación de vulnerabilidades representa el 31 % de los puntos de entrada de las brechas, pero el abuso de credenciales aparece en el 39 % de las brechas cuando se contabiliza en cualquier punto de la progresión del ataque, más que cualquier otra técnica. Los atacantes suelen entrar a través de un sistema sin parchear y luego usan credenciales robadas para moverse lateralmente y escalar privilegios. Los parches determinan si un atacante entra; los controles de identidad y de acceso privilegiado determinan hasta dónde llega y cuánto daño causa.
¿Qué es una identidad no humana y por qué supone un riesgo de seguridad?
Una identidad no humana es cualquier entidad que posee credenciales y no es una persona: cuentas de servicio, aplicaciones, cargas de trabajo, scripts, canalizaciones de CI/CD, bots y agentes de IA. Suponen un riesgo porque suelen combinar privilegios elevados con controles débiles: sin MFA, contraseñas que rara vez se rotan, permisos más amplios de los necesarios y ningún propietario claro que supervise su comportamiento. El Digital Defense Report 2025 de Microsoft señala que los atacantes se dirigen cada vez más a las cuentas de servicio precisamente por esta razón. Gobernarlas exige un inventario con propietarios nominales, permisos delimitados, secretos almacenados en bóvedas y rotados de forma centralizada, y registros de actividad auditables.
¿Por qué el mínimo privilegio importa más frente a los ataques impulsados por IA?
El mínimo privilegio limita lo que puede hacer un atacante con una credencial que ya funciona, y la IA acorta el tiempo entre el robo de una credencial y la escalada de privilegios. Cuando el reconocimiento y la escalada están automatizados, cada permiso innecesario se encuentra y se utiliza más rápido que antes. El mínimo privilegio y el control de acceso basado en roles limitan el número de acciones disponibles tras un compromiso, restringen el movimiento lateral y contienen el alcance del daño, que es lo que determina el coste de un incidente una vez que la detección ya ha quedado rezagada.
¿Cuál es el control de identidad más eficaz para implementar en primer lugar?
La autenticación multifactor resistente al phishing en las cuentas privilegiadas y los sistemas críticos. Microsoft indica que más del 97 % de los ataques de identidad son ataques de contraseña a gran escala, y que la MFA resistente al phishing previene hasta el 99 % de ellos. Después de la MFA, el siguiente paso más decisivo es eliminar el acceso privilegiado permanente en favor de la elevación Just-in-time, lo que reduce la ventana durante la cual cualquier credencial privilegiada robada resulta utilizable.
Laurence Cadieux
Mathieu Morrissette
Sebastien Duquette