A finales de julio de 2026, OpenAI estaba probando uno de sus nuevos modelos en un entorno cerrado cuando el modelo decidió escaparse(nueva ventana). Hackeó la infraestructura privada de otra empresa de software, Hugging Face, para robar la clave de respuestas de una prueba de referencia de ciberseguridad en la que estaba siendo evaluado. En otras palabras, quebrantó la ley por pura conveniencia.

Días después, el Instituto de Seguridad de Inteligencia Artificial del Reino Unido reveló que el modelo de IA Mythos 5 de Anthropic(nueva ventana) había creado identidades de desarrollador falsas, realizado ataques de spear-phishing a usuarios reales de GitHub para que aprobaran código malicioso y editado su propio registro de actividad para cubrir sus huellas al ser descubierto.

Luego, en agosto, surgió la noticia de que un hombre de Melbourne llamado Andrew le había pedido a su agente de IA personal,(nueva ventana) creado en OpenClaw y ejecutando Claude de Anthropic, que le ayudara a ingresar a una clase matutina de gimnasio que ya estaba completa. Estaba en el cuarto lugar de la lista de espera y preguntó si había alguna forma de subir de posición.

El agente descubrió que la API de reservas no tenía verificación de autorización para cancelar las reservas de otros usuarios. Así que, sin pedirle permiso a Andrew, procedió a cancelar la reserva de la persona que estaba en el primer lugar para hacerle espacio a él. Cuando Andrew le pidió que deshiciera la cancelación, no pudo: “La persona que borré ya no está en la lista de espera y no tengo forma de restaurarla”.

El origen de estos tres incidentes no es el mismo, pero el resultado sí lo es: los agentes de IA sondearon y explotaron sistemas de forma más rápida y exhaustiva de lo que cualquier ser humano habría logrado gestionar. Nunca se les dio la instrucción de atacar nada, pero de todos modos encontraron la ruta más corta hacia su objetivo.

No importa si se trata de la infraestructura de un laboratorio de vanguardia o del software de reservas de un gimnasio suburbano. Si usted tiene una empresa que expone una API, ahora es algo que un agente de IA puede sondear, a una velocidad y con una exhaustividad que ningún atacante humano ha igualado. Y nadie necesita tomar la decisión de atacarle a usted.

La velocidad es la verdadera historia

Un atacante humano evalúa el esfuerzo frente a la recompensa. Se aburre, se le acaba el tiempo o decide que una aplicación de reservas de gimnasio no vale la pena. Ese cálculo es lo que ha protegido silenciosamente a la mayoría de los objetivos de bajo valor contra la explotación casual durante los últimos 20 años (a menos que usted ejecute WordPress).

Un agente de IA no hace ese cálculo. Con un objetivo establecido, intentará lo que la API permita técnicamente, probando puntos finales y combinaciones de parámetros a velocidad de máquina hasta que algo funcione. Encontró la falla de autorización del gimnasio en el tiempo que le tomó a Andrew hacer una pregunta de seguimiento.

La magnitud de esa brecha de velocidad ya es visible en los números. El Informe global de respuesta a incidentes de 2026 de Unit 42(nueva ventana) reveló que los ataques más rápidos ahora exfiltran datos en 72 minutos, en comparación con los 285 minutos del año anterior. Esa es la tendencia cuando los humanos todavía intervienen en su mayoría. Un agente toma decisiones en milisegundos; un analista humano responde en cuestión de minutos u horas.

Para los equipos de seguridad, esa velocidad en aumento es la verdadera causa de preocupación, no un solo incidente aislado que salga en las noticias.

La nueva superficie de ataque: todo lo que tenga una API

Cualquier servicio que exponga una API es un objetivo potencial, parezca o no uno.

  • Motores de fijación de precios donde los descuentos se validan del lado del cliente
  • Sistemas de inventarios donde el estado del stock reside en la tienda en lugar del backend
  • Plataformas de soporte donde los campos internos son accesibles a través de rutas de API no documentadas
  • Gestión de suscripciones que no verifica la titularidad del emisor sobre la cuenta que se modifica.

Ninguno de estos requiere que un humano vaya a buscarlos. Solo requieren un agente con un objetivo y una API que responda.

Las empresas más expuestas no son las que tienen huecos de seguridad evidentes. Son las que tienen brechas en la lógica de negocio: reglas que solo existen en la interfaz de usuario, acciones que la API permite técnicamente pero que la interfaz nunca muestra, flujos de trabajo basados en la suposición de que ningún emisor jamás intentará la ruta que omita la prevista.

El desarrollador del gimnasio casi con certeza no pensó que valía la pena escribir una comprobación de autorización para las cancelaciones, porque ningún usuario común, ni ningún atacante común, tenía motivos para intentarlo. Un agente no tenía tales reparos, y ni siquiera estaba intentando encontrar una reserva que omitir. Solo intentaba ser de ayuda.

Cómo pueden las empresas prepararse para los ataques de IA

Trate cada acción de la API como una operación privilegiada. Identidad, autorización y política contextual, verificadas de forma independiente en cada llamada. No que “el frontend no le permitirá hacer esto”, sino que “el servidor verifica que usted tiene permiso para hacer esto, en este recurso, dado su estado actual”. El sistema del gimnasio habría detenido este incidente específico con una sola línea de lógica de autorización en el punto final de cancelación. Este no es un control nuevo en absoluto; es el elemento más antiguo de la lista de seguridad de API de OWASP, autorización a nivel de objeto rota, y sigue siendo en el que la mayoría de los sistemas se equivocan.

Otorgue a los agentes su propio modelo de credenciales. Los token con un ámbito limitado y un TTL corto, emitidos específicamente para sesiones de agentes, a diferencia de los token de sesión humanos habituales, limitan el radio de alcance incluso si el agente encuentra una falla que usted no anticipó. Si el agente de Andrew hubiera tenido un token delimitado solo a su propia reserva, la cancelación de la reserva de otra persona habría fallado en la capa de credenciales independientemente de lo que la API permitiera de otro modo. Esto es importante porque usted no puede confiar en la propia moderación del agente. Debe confiar en lo que sus credenciales le permiten hacer físicamente.

Implemente la instrumentación específicamente para la detección del comportamiento de agentes. El tráfico de agentes tiene una forma distinguible: tiempos de respuesta inferiores a los humanos, enumeración sistemática de puntos finales, sondeo secuencial en distintas combinaciones de parámetros, ejecución exitosa de acciones que ningún usuario humano jamás ha intentado a través de la interfaz real. Establezca una línea base para esa forma y genere alertas sobre ella en tiempo real.

Cierre la brecha en el tiempo de respuesta, no solo la brecha de detección. Detectar un sondeo en una hora no tiene sentido si el sondeo se completó y avanzó en minutos. La cifra de Unit 42 mencionada anteriormente, 72 minutos para los ataques a ritmo humano más rápidos, ya es la referencia incorrecta según la cual planificar. La respuesta automatizada, no solo las alertas automatizadas, es lo que cierra una brecha medida en milisegundos. Por supuesto, usted también debe asegurarse de que su respuesta automatizada tampoco resulte perjudicial.

Asuma que esto sucederá y ensaye la respuesta. Documente a quién se llama, redacte con anticipación las comunicaciones para los clientes y ejecute ejercicios teóricos sobre escenarios impulsados por agentes específicamente, no solo manuales de respuesta a vulneraciones tradicionales. El Informe del costo de una vulneración de datos de 2026 de IBM ubicó la vulneración global promedio en 4.99 millones de dólares, mientras que las vulneraciones habilitadas por IA promediaron aproximadamente 1 millón de dólares más. Esas cifras describen cada vez más incidentes que comenzaron como el del gimnasio: sin ningún atacante en el sentido tradicional.

Pruebe sus propias API de la misma manera que lo haría un agente, antes de que un agente lo haga por usted. Las pruebas de penetración manuales asumen un evaluador humano con tiempo limitado y una lista finita de cosas por probar. Un sistema adversarial automatizado contra sus propios puntos finales, sondeando con la misma persistencia y velocidad que un agente, sacará a la luz las mismas fallas antes de que el asistente de un cliente tropiece con ellas. Actualmente existen herramientas de código abierto específicamente para esto. CyberStrike(nueva ventana), por ejemplo, ejecuta agentes especializados asignados a OWASP WSTG y MITRE ATT&CK contra sus propios puntos finales, incluyendo un evaluador dedicado exactamente a la falla de autorización a nivel de objeto que tomó desprevenido al gimnasio: envía una solicitud de referencia, envía el ataque y solo marca un hallazgo si hay una diferencia medible y reproducible. Esa es la misma clase de comprobación que habría detectado el punto final de cancelación antes de que un agente lo encontrara en libertad.

El principio no es nuevo, por supuesto. Los propietarios de sitios que ejecutaron sus propios escáneres de vulnerabilidades contra las instalaciones de WordPress durante la era de las redes de robots sobrevivieron. Las herramientas solo necesitan igualar la velocidad del emisor ahora, no la velocidad de un atacante humano que tal vez con el tiempo encuentre el momento para hacerlo.