La IA activa todos los riesgos que has aceptado: siete ideas del panel de seguridad de IA sin filtros

El 14 de octubre, la tarde previa al evento principal de AI Security Summit (AISS) en San Francisco, Snyk organizó El panel de seguridad de IA: sin filtros. Deirdre Bosa, de Yahoo Finance, moderó la conversación entre cuatro personas que ven la seguridad de la IA desde perspectivas muy distintas:

• Manoj Nair, director de tecnología y director de innovación de Snyk

• Michael D'Angelo, líder técnico de ciberseguridad en OpenAI

• John Hultquist, analista jefe de Google Threat Intelligence Group

• Ed Sim, fundador y socio general de boldstart ventures

Aunque quizá no coincidían en cómo regular la IA, supervisar a los agentes ni cuánto confiar en ellos, sí coincidieron bastante en el diagnóstico principal: la IA ha hecho que los ataques sean baratos, rápidos y accesibles para casi cualquiera, y ha activado todos los riesgos que una organización haya aceptado. Encontrar vulnerabilidades se vuelve más fácil cada mes, pero la capacidad de corregirlas es el verdadero cuello de botella. Los equipos defensivos no cerrarán esa brecha hasta que las máquinas hagan la mayor parte de las correcciones, con controles reales de identidad, permisos e intención.

¿Qué lugar ocupó este panel en AISS 2026?

AISS se lanzó por primera vez en San Francisco el año pasado (2025) y agotó todas las entradas. El evento principal de este año se realizó el 15 de octubre y estuvo tan lleno como el del año pasado.

Como dice el lema del evento, fue un día completo, en una sala, con una sola sesión, para quienes tienen la responsabilidad del riesgo de IA a nivel organizacional, y tendrá una continuación con ediciones regionales «satélite» en Copenhague y Sídney el 25 de noviembre. AISS es una iniciativa de Snyk y AI Engineer, y sus reglas principales son no recurrir a lugares comunes y no organizar paneles donde todos estén de acuerdo. Por eso es tan importante el desacuerdo mencionado anteriormente. En todo caso, aprendimos que hay más cosas que nos unen que las que nos separan.

Este panel, organizado por Snyk, fue el evento inaugural de la tarde anterior. Su promesa principal era abordar cuatro temas: la amenaza actual, la que se avecina, quién es responsable y qué hacer el lunes por la mañana. El evento en sí profundizó en cada tema. El panel ofreció una visión general, con un laboratorio de frontera, un equipo de inteligencia sobre amenazas, un inversionista y una empresa de seguridad que trabaja donde se crean el código y los agentes.

De la conversación animada y profunda surgieron siete ideas clave:

1. ¿Por qué la IA es un llamado de margen sobre los riesgos que ya enfrentas?

La mayoría de los riesgos que la IA aprovecha ya figuraban en los registros, pero lo que cambió fue el costo de explotarlos.

Manoj tomó prestado su enfoque de un cliente de Snyk: «Los atacantes están usando IA. La IA es una nueva superficie de ataque y también es un infiltrado». Luego explicó la consecuencia.

«Se trata de todos tus riesgos existentes. La IA es el llamado de margen sobre ellos».

Manoj Nair, Snyk

John Hultquist explicó después cómo funciona: los atacantes han usado tecnología autónoma durante unos ocho años; han pasado de imágenes falsas y correos de spear phishing a llamadas con deepfakes y operaciones completas. Hoy, trabajadores norcoreanos de TI llevan adelante sus operaciones de principio a fin con modelos. Los modelos también mejoran el trabajo de los atacantes: les ayudan a resolver problemas durante un ataque, desplazarse más rápido por una red y convertir un parche reciente en un exploit funcional antes de que la mayoría de los equipos defensivos lo hayan aplicado. Y también permiten escalar: «Ahora estas herramientas están al alcance de muchas más personas».

Ed Sim señaló las brechas en bancos de Corea del Sur. CrowdStrike cree que quien las perpetró probablemente era una persona de 26 años con sede en China que usó un agente de pruebas de penetración de IA de código abierto y un agente comercial de programación. Se ha informado que al menos nueve bancos fueron objetivos. El caso, según Adam Meyers, de CrowdStrike, quien habló con periodistas, «permite que una sola persona ataque a muchos clientes en muy poco tiempo usando el poder de la IA». ¿La conclusión de Ed? «No puedes luchar contra hackers de todo el mundo que tienen máquinas con personas».

Hultquist señaló la asimetría que subyace a esto: los atacantes experimentan con un costo muy bajo. Si intentara una nueva forma de robar un banco y fracasara, «lo más probable es que terminara en la cárcel o algo peor». En línea, «no enfrentan las mismas consecuencias».

2. ¿Qué hace que los agentes de IA sean una superficie de ataque diferente?

Esta nueva superficie de ataque actúa por sí sola: los agentes, las habilidades que cargan y el acceso que obtienen y acumulan.

El desarrollo efectivamente (¿o por fin?) se ha convertido en una fábrica de software, donde los agentes escriben código y buscan lo que necesitan, y todo lo que utilizan termina convirtiéndose en una superficie de ataque. Las habilidades de los agentes son el caso más crítico, porque están escritas en inglés sencillo y, como dijo Manoj, «tres líneas en inglés pueden convertirse en malware». La investigación ToxicSkills de Snyk encontró al menos una falla de seguridad en el 36.82 % de las 3984 habilidades que analizó, además de 76 cargas maliciosas confirmadas. Para publicar una en ClawHub solo hacía falta un archivo Markdown y una cuenta de GitHub creada una semana antes.

Hultquist agregó la perspectiva de los atacantes. Los actores de amenazas han preferido en general usar sistemas autónomos en vez de atacarlos, con una excepción: cuando las personas dieron acceso a sus agentes personales a todo lo que tenían en su vida, los atacantes «se enfocaron en ese momento porque reconocieron toda esa oportunidad de agregación». Los sistemas implementados son el próximo objetivo y los atacantes aún no han actuado contra ellos en masa, «pero lo harán», y defenderlos requerirá «un régimen de seguridad completamente nuevo».

El incidente de Hugging Face mostró la perspectiva desde adentro. En julio, durante una evaluación interna de ciberseguridad, los modelos de OpenAI eludieron los controles diseñados para aislarlos y vulneraron Hugging Face. El propio informe de OpenAI lo llama una «señal de advertencia». Michael D'Angelo resumió la causa en dos oraciones: «Haz esta tarea y recibirás una recompensa. Así que fueron e hicieron la tarea».

Manoj llegó a la causa poco llamativa: «secretos a la vista que un adolescente de 14 años puede atacar con unas cuantas herramientas y sin IA». El informe confirma su planteamiento inicial: un agente encontró credenciales de Hugging Face expuestas públicamente y las compartió con los demás agentes.

La respuesta de Ed Sim es gobernar a los agentes como lo que son: infiltrados, cada uno con su propia identidad, un registro de auditoría y acceso otorgado para la tarea, que desaparece cuando esta termina. El aspecto aún sin resolver es la intención:

«Si mi objetivo es reducir el costo de mi computación, ¿qué pasa si, en el camino, decido eliminar un par de bases de datos de producción porque descubrí que era una buena forma de reducir los costos de computación? Bueno, hice mi trabajo, ¿no?»

Ed Sim, boldstart ventures

Y, a medida que la IA llega a los chips, los dispositivos y los robots, Ed preguntó: «¿Quién va a proteger el firmware, los chips y toda la inteligencia integrada?».

3. ¿Por qué la corrección se convirtió en el cuello de botella?

Encontrar vulnerabilidades es cada vez más barato, pero la velocidad para corregirlas no ha avanzado al mismo ritmo. Un laboratorio de frontera, un equipo de inteligencia sobre amenazas y Snyk ven la misma brecha, aunque desde perspectivas distintas.

Michael describió cómo ha evolucionado la detección, de una revolución a otra: desde los fuzzers hasta las pruebas dinámicas y los armazones para agentes. La parte difícil viene después y, a menudo, «es un problema político»: los equipos encuentran más problemas de los que pueden derivar, y el resultado es un ping-pong de parches, un hilo de Slack sobre «quién hace qué, cuándo y cómo», donde «si algo falla, es tu culpa».

Hultquist lo aprendió en Google con Big Sleep, un proyecto de detección de vulnerabilidades basado en un armazón de IA, que recibió críticas en redes sociales por entregar errores a personas que mantienen proyectos de código abierto en su tiempo libre. «No basta con encontrar estas cosas», dijo. Si le entregas a una empresa una vulnerabilidad de día cero que un atacante ya está usando, la respuesta suele ser «va a tomar un tiempo». La detección y la corrección son dos caras de la misma moneda, dijo, y «si no haces ambas cosas, no puedes mantener el ritmo».

Manoj mencionó Project Glasswing, donde la propia actualización de Anthropic dice que el progreso en seguridad de software «antes estaba limitado por la velocidad con la que podíamos encontrar vulnerabilidades nuevas. Ahora está limitado por la velocidad con la que podemos verificar, divulgar y corregir la gran cantidad de vulnerabilidades que encuentra la IA».

Esto señala la capacidad humana para clasificar y corregir como el cuello de botella. Al 22 de mayo, al principio del período de divulgación de 90 días, los mantenedores de código abierto habían corregido 75 de los 530 errores de gravedad alta o crítica que Anthropic había reportado.

La medida que importa, dijo Manoj, son «las correcciones que llegan a producción». La investigación VulnBump de Snyk, publicada también ayer, el 15 de octubre, parte de la misma brecha: durante seis meses de 2026, Snyk Open Source registró 459 millones de hallazgos de vulnerabilidades en unas 300,000 organizaciones. Aunque el 94 % tenía una versión con una corrección conocida, solo alrededor del 10 % se había resuelto. El punto de referencia cuenta una corrección únicamente si la vulnerabilidad desaparece y el proyecto aún se instala, compila y supera sus pruebas. (El Remediation Agent de Evo de Snyk cumplió ese criterio en el 90.2 % de 307 actualizaciones reales de dependencias).

Su argumento más amplio fue dónde romper el ciclo. «Todo el juego ha cambiado hasta llegar al punto de creación», donde «los agentes son quienes actúan» y los desarrolladores aportan la intención. Prevén antes y corrige con ese contexto, o seguirás en «este ciclo interminable de encontrar, corregir, encontrar, corregir».

4. ¿Sigue funcionando la priorización cuando la IA puede encadenar los problemas menos evidentes?

La priorización es una solución alternativa a la limitada capacidad humana, y la IA está aprendiendo a aprovecharla.

La recomendación habitual con la que Manoj no está de acuerdo es la priorización contextual: analizar señales para elegir los 10 problemas que vale la pena corregir de un total de 100 es la forma en que trabaja el sector, pero solo existe para adaptar el trabajo a las personas disponibles. Un atacante autónomo no tiene ese límite.

«Deberíamos revisar los 100. Llegar al punto en que puedas corregirlo todo. Porque esos 10 problemas se convertirán en 100 antes de que te des cuenta».

Manoj Nair, Snyk

La larga cola importa porque la IA puede encadenar sus elementos: Manoj dijo que la IA razona paso a paso, así que puede encadenar cinco o seis vulnerabilidades del percentil 99 de tu lista, esas a las que «dijiste que nunca llegarías porque no tienes suficientes personas para corregirlas», y convertirlas en un solo incidente grave. En el ensayo que Michael citó, Greg Brockman describe de la misma manera la brecha de Hugging Face: un colectivo de agentes que «encadena vulnerabilidades que van desde fallas de seguridad desconocidas hasta el uso de credenciales de cuentas de usuario que se habían filtrado en Internet».

La otra parte del argumento de Manoj es cultural. Durante toda su carrera, la disyuntiva ha sido siempre la misma: el riesgo operativo es inaceptable, así que la seguridad espera. En una sala con cientos de CISO la semana anterior, oyó cómo empezaba a cambiar, hacia líderes dispuestos a dejar una aplicación fuera de servicio brevemente para eliminar un riesgo de seguridad. «Oye, quizá algo quede fuera de línea un rato, pero volverá. Eso es mejor que corregirlo con muchísima cautela y tardar un año».

5. ¿Cómo es la defensa a velocidad de máquina y qué papel tienen las personas?

La defensa debe avanzar a la misma velocidad que los ataques, lo que significa que los agentes hacen la mayor parte del trabajo y las personas se encargan de juzgar.

Hultquist distinguió dos tipos de atacantes. Por un lado, están los grupos de espionaje que se mantienen «bajo perfil y avanzan lentamente», y permanecen en los sistemas durante años. Por otro, están los criminales que extorsionan, para quienes la velocidad es fundamental: «Hay una carrera entre tú y yo para que consiga lo que necesito para extorsionarte antes de que puedas detenerme».

«Un SOC promedio con una persona en el circuito no va a poder seguir ese ritmo. El SOC tendrá que tomar medidas por su cuenta, o simplemente recibirás una llamada».

John Hultquist, Google Threat Intelligence Group

Ed Sim quiere que los defensores construyan «una fábrica de defensa de software, como los programadores construyen fábricas de código», y la mayoría ni siquiera ha empezado: pese a todo lo que se habla de defensa autónoma, «el 99 % de las empresas no lo hace en absoluto». OpenAI está más avanzada: afirma que la IA ya clasifica casi todas sus alertas de seguridad iniciales antes de que intervenga una persona. «No tenemos los 5 años que pensábamos. Tenemos como 5 días», dijo Ed. Los CISO no quieren darles autoridad a los agentes, «pero en algún momento van a tener que hacerlo». Hultquist espera que los incidentes fuercen el cambio: «en muchos casos, el dinero no fluye hasta que algo nos hace reaccionar».

Las personas deben seguir participando donde realmente importa. Manoj describió su trabajo como definir la intención, aportar experiencia y tomar decisiones con criterio. Para él, lo más importante es la proporción entre los problemas detectados y los problemas corregidos: «Si esa proporción no mejora, todo lo demás es una conversación irrelevante». El cuello de botella es el proceso, porque una persona tiene que aprobar cada pull request. Debes automatizar las aprobaciones seguras y dejar que las personas decidan sobre las excepciones. Después, toma la iniciativa: «Si un atacante autónomo va a atacarte, ¿por qué no atacarte tú primero?»

Michael D'Angelo puso un plazo a esta oportunidad. Los modelos abiertos están rezagados respecto de los más avanzados «por unos meses», una brecha que Greg Brockman llama la ventana de oportunidad para los defensores: usa ahora la inteligencia de los modelos más avanzados para analizar tus activos y corregir lo que detecten, antes de que alguien con un modelo comparable, «digamos, en su dormitorio», se te adelante. Esa es la única medida que todos los CISO deberían tomar antes de que se lance un modelo abierto de nivel avanzado.

6. ¿Cómo supervisas un sistema que nunca se comporta igual dos veces?

Esta sigue siendo una pregunta abierta, y aquí es donde las respuestas del panel se dividieron.

El punto de partida de Michael: «¿Cómo proteges un sistema no determinista? Por lo general, hay dos maneras: una, controlas a qué tiene acceso; la otra suele ser usar otro sistema no determinista». Tomó esta idea de su experiencia militar:

«Cuando les das acceso a cosas extremadamente peligrosas a jóvenes de 18 años, lo haces de dos maneras: primero, solo les das ciertos accesos a ciertas personas. Y también pones a un sargento cerca. Te aseguras de que hagan lo que se supone que deben hacer».

Michael D’Angelo, OpenAI

Espera que haya flotas de modelos, con modelos muy económicos supervisando al resto.

Ed Sim incorporó una capa determinista a la ecuación. «Se necesita un equipo», dijo: inteligencia de los modelos más avanzados para el primer análisis, seguida de sistemas basados en años de datos sobre vulnerabilidades reales y cómo las corrigen las personas, porque «necesitas algo de determinismo».
La pregunta sobre modelos abiertos o cerrados, que según Manoj ha llegado a los CIO en los últimos meses, también se responde según el caso de uso: alojar un modelo en un lugar que controlas es «una capa, pero no basta, porque ¿cuál es el comportamiento según cada caso de uso?». Algunos modelos abiertos están bien alineados y, aun así, filtran información personal de manera grave, así que «no lo uses para ese caso de uso». Tampoco «daría por sentado que los modelos más avanzados son seguros».

7. ¿Quién es responsable cuando un agente causa daños?

La responsabilidad se está determinando en la práctica, mientras el debate sobre las políticas continúa en segundo plano.

Ed Sim planteó la pregunta que nadie ha respondido todavía: «¿Es el proveedor del modelo? ¿Es la empresa que implementa un agente que va y ataca el sitio de otra persona?». OpenAI prueba sus propios lanzamientos con equipos internos y evaluadores externos, documentados en fichas de sistema, y Michael reconoció con franqueza que el sector «todavía está tratando de resolverlo».

El panel se dividió sobre quién debería resolverlo. Ed está a favor de la autorregulación y advierte que unas reglas diseñadas para las empresas más grandes ahogarían a la próxima «empresa de 100 mil millones de dólares» y que, si «nos regulamos hasta morir», China tomará la delantera. Deirdre respondió:

«Pero cuando la gente plantea el argumento de China, si realmente miras a China, verás que está regulando la IA de maneras mucho más contundentes que incluso Estados Unidos».

Deirdre Bosa, Yahoo Finance

También preguntó si la autorregulación de las empresas más grandes facilita la captura regulatoria. La respuesta de Manoj fue matizada y urgente: «No tenemos el lujo de disponer de tiempo». Primero, estándares; luego, visibilidad, autorregulación y una regulación más amplia que exija responsabilidad y transparencia, y que llegue «mucho más rápido que en el pasado». Su observación más contundente se centró en la atención: «Pasamos mucho tiempo concentrados en los laboratorios», mientras los agentes se extienden por todas las empresas como «agentes muy capaces o posibles amenazas internas».

Los bancos ya están actuando. Ed señaló la llamada sobre resultados de JPMorgan Chase de esa semana, en la que el banco dijo que, en la medida de lo posible, está bloqueando los servicios que dependen de que los clientes compartan sus credenciales bancarias. La advertencia del director financiero Jeremy Barnum, según informó American Banker: «si le dan sus credenciales al agente y este hace algo que no quieren, será responsabilidad de ellos».

¿Qué deberían hacer los líderes de seguridad el lunes por la mañana?

Estas son las medidas que surgieron durante la hora, en el orden en que las tomaríamos:

1. Aprovecha la ventana de oportunidad para los defensores. Usa ahora modelos de vanguardia para analizar tu código, infraestructura y lista de pendientes, antes de que los atacantes tengan acceso a modelos abiertos con las mismas capacidades (Michael D'Angelo).

2. Atácate primero. De todos modos, se acerca un atacante autónomo (Manoj Nair).

3. Mejora la proporción entre problemas detectados y problemas corregidos. Automatiza las correcciones seguras y deja que las personas se ocupen de las excepciones y las decisiones que requieren criterio (Manoj Nair).

4. Permite que el SOC actúe por su cuenta. Una persona en cada etapa no puede seguirle el ritmo a una banda de extorsión (John Hultquist).

5. Asigna una identidad a cada agente. Debe tener sus propias credenciales, un registro de auditoría y acceso limitado a la tarea, que venza cuando esta termine (Ed Sim). Empieza por auditar lo que tus agentes ya pueden hacer.

6. Activa la autenticación multifactor sólida en todas partes (Manoj Nair).

7. Haz la pregunta en voz alta ante la junta directiva. «¿Por qué no podemos corregirlo todo?». Si la respuesta es que el tiempo de actividad siempre tiene prioridad, es momento de revisar ese equilibrio.

Entonces, ¿quién paga la llamada de margen?

En un panel concebido para el desacuerdo, el acuerdo terminó siendo el titular. Un laboratorio de vanguardia, un equipo de inteligencia de amenazas, un inversionista y Snyk llegaron a la misma conclusión: el riesgo que aceptaste cuando los ataques eran lentos y costosos ya está pasando factura, y quienes están cobrando son los atacantes.

La salida no es muy glamurosa: corregir al mismo ritmo que detectas, dejar que las máquinas hagan la mayor parte de las correcciones, reservar para las personas las decisiones que requieren criterio y asignarle una identidad y límites a cada agente antes de darle las llaves.

La apuesta de Ed Sim para el próximo año es que los defensores ganen, precisamente porque todavía «no están aprovechando lo suficiente» estas herramientas. Esa es la lectura optimista, y también la incómoda: depende de nosotros cerrar la brecha, y el reloj empezó a correr antes que el panel.

A la mañana siguiente, Manoj dio la primera conferencia magistral del evento: La tormenta de IA ya llegó: prepárate para enfrentarla. El panel ya había presentado los argumentos a favor de la segunda parte de ese título.

¿Quieres saber a qué pueden acceder tus propios agentes? Descarga el informe State of Agentic AI Adoption 2026, volumen III para conocer el análisis de Snyk sobre los riesgos de los modelos en miles de entornos empresariales.