Akamai alerta de que casi la mitad del uso empresarial de IA escapa al control
La adopción de inteligencia artificial en las empresas ha dejado atrás la fase experimental y se ha convertido en un elemento estructural de los entornos de trabajo. Sin embargo, el ritmo de implantación está superando las capacidades de seguridad tradicionales, según el informe ‘Enterprise AI Usage Risk Report 2026’ de Akamai.
Uno de los principales riesgos identificados es la denominada IA en la sombra, formada por aplicaciones y servicios de IA que se utilizan sin la supervisión o autorización de los equipos de seguridad. Frente a las plataformas corporativas aprobadas, existe una larga cola de herramientas no gestionadas que dificulta conocer qué aplicaciones se utilizan, qué información reciben y qué datos pueden estar abandonando la organización.
El informe también pone el foco en los denominados usuarios avanzados de IA. Aunque el uso de estas tecnologías se ha extendido por diferentes áreas empresariales, una parte muy significativa de la actividad se concentra en aproximadamente el 5% de los empleados, considerados perfiles de mayor riesgo por el volumen de interacciones que mantienen con herramientas de IA.
“La IA ya no es solo un motor que impulsa la productividad, sino un colaborador directo con acceso a los activos más valiosos de la empresa”, afirma Or Eshed, vicepresidente de Ingeniería y productos de seguridad empresarial de Akamai. Según el directivo, las estrategias de prevención de pérdida de datos deben evolucionar para controlar “continuamente” el funcionamiento de la IA a nivel de interacción.
La rápida integración de la IA en las empresas ha superado las barreras de seguridad tradicionales.
Tres nuevos vectores de ataque asociados a la IA
El análisis de Akamai identifica tres metodologías de ataque descubiertas por sus investigadores en 2026. Todas aprovechan elementos propios de los nuevos entornos de desarrollo y navegación basados en IA.
El primero es el ‘vibe hacking’, una técnica que modifica de forma encubierta archivos locales de instrucciones en formato ‘Markdown’ dentro de los entornos de desarrollo. El objetivo es engañar a los asistentes de programación para que generen código inseguro o realicen acciones no autorizadas sin alterar aparentemente el flujo de trabajo habitual.
El segundo, denominado ‘Cursor Jacking’, utiliza extensiones de navegador no autorizadas con permisos elevados para recopilar información como claves de API, código propietario o historiales de conversaciones desde el propio navegador. La técnica afecta especialmente a los asistentes de programación basados en IA.
El tercer vector es el ‘Comet Jackin. En este caso, los atacantes incorporan instrucciones maliciosas en páginas web públicas para realizar ataques de inyección indirecta de instrucciones contra agentes de IA locales. Un agente comprometido podría llegar a acceder y extraer archivos, correos electrónicos o credenciales de sesión sin que el usuario sea consciente de la actividad.
Akamai advierte también del riesgo asociado a las extensiones de IA utilizadas en navegadores y entornos de desarrollo. Según el informe, cerca del 75% de estas extensiones requieren permisos altos o críticos y el 16,3% contiene vulnerabilidades CVE conocidas.
Cinco prioridades para proteger la IA empresarial
Ante esta evolución, el informe propone una hoja de ruta para los responsables de seguridad. La primera recomendación consiste en concentrar la telemetría, la supervisión y la formación específica en los usuarios avanzados que generan una parte desproporcionada de las interacciones con sistemas de IA.
La segunda pasa por reducir la IA en la sombra mediante la federación del inicio de sesión único (SSO) y la detección continua de aplicaciones SaaS de IA, incluidas las herramientas de nicho que forman parte de esa larga cola de servicios no gestionados.
Akamai recomienda asimismo trasladar los controles de seguridad desde una DLP estática hacia el análisis contextual de las interacciones con la IA, incluyendo las instrucciones introducidas en tiempo real, las operaciones de copiar y pegar y las cargas de documentos.
La cuarta medida consiste en someter las extensiones de navegador e IDE a controles similares a los aplicados a cualquier otro software con privilegios elevados. Por último, las empresas deben establecer límites de privilegios mínimos y mecanismos de supervisión del comportamiento para los agentes autónomos que actúan en nombre de los empleados.
La evolución del uso empresarial de la IA obliga así a ampliar la estrategia de protección más allá de las aplicaciones corporativas autorizadas. Para Akamai, conocer qué herramientas utilizan los empleados, cómo interactúan con ellas y qué capacidad de actuación tienen los agentes de IA será determinante para controlar una superficie de ataque cada vez más distribuida.
