El 82% de las empresas detectó agentes de IA desconocidos: crece el riesgo de seguridad

El 82% de las organizaciones ha descubierto agentes de inteligencia artificial que sus equipos de tecnología y seguridad desconocían, según una investigación de Cloud Security Alliance (CSA) encargada por Token Security. El hallazgo evidencia un problema creciente para las empresas: el uso de herramientas y agentes de IA sin supervisión, una práctica conocida como Shadow AI.

La investigación, realizada en enero de 2026 entre 418 profesionales de tecnología y seguridad, también encontró que el 65 % de las organizaciones había experimentado incidentes relacionados con agentes de IA durante los 12 meses anteriores.

Ante este panorama, Sophos anunció la disponibilidad general de Sophos AI Defense, una solución diseñada para identificar las herramientas de inteligencia artificial que se utilizan dentro de las organizaciones, detectar actividades potencialmente riesgosas y aplicar políticas de seguridad.

El lanzamiento responde a una preocupación que está adquiriendo relevancia para los directivos empresariales: cómo aprovechar las capacidades de la IA sin perder visibilidad sobre los datos, aplicaciones y procesos que quedan expuestos a tecnologías no autorizadas.

¿Qué es Shadow AI y por qué representa un riesgo para las empresas?

Shadow AI es el uso de herramientas, aplicaciones o agentes de inteligencia artificial dentro de una organización sin el conocimiento, la autorización o la supervisión de sus responsables de tecnología y seguridad.

Puede presentarse cuando un trabajador utiliza una aplicación de IA para procesar documentos corporativos, cuando un equipo incorpora herramientas externas a sus actividades o cuando se implementan agentes autónomos sin integrarlos a los controles oficiales de la empresa.

El problema no es necesariamente utilizar inteligencia artificial, sino hacerlo sin mecanismos adecuados para conocer qué información se comparte, quién accede a ella y cómo se utiliza.

Los riesgos pueden incluir exposición de información confidencial, acceso indebido a sistemas corporativos y dificultades para investigar incidentes de seguridad.

En el caso de los agentes de IA, la situación puede ser más compleja porque algunos están diseñados para ejecutar tareas, interactuar con aplicaciones y utilizar recursos digitales con diferentes niveles de autonomía.

Un estudio de Gartner de 2025, citado por Sophos, encontró que el 69% de los líderes de ciberseguridad encuestados sospechaba o tenía evidencia del uso de herramientas y agentes de inteligencia artificial no autorizados en sus organizaciones.

El resultado corresponde a una encuesta de 302 líderes de ciberseguridad realizada entre marzo y mayo de ese año.

El 82% de las organizaciones descubrió agentes de IA que no tenía identificados

La investigación de Cloud Security Alliance permite dimensionar los desafíos de visibilidad sobre el uso empresarial de inteligencia artificial.

Según el estudio, el 82% de las organizaciones identificó agentes de IA previamente desconocidos durante el último año.

Además, el 65% reportó incidentes asociados con agentes de inteligencia artificial. Entre las organizaciones que experimentaron estos incidentes, se reportaron consecuencias como exposición de datos, interrupciones operativas y pérdidas económicas.

Estos resultados muestran que la adopción de IA también está generando nuevas exigencias para los modelos tradicionales de gestión de riesgos.

La preocupación se extiende a los equipos responsables de infraestructura y tecnología. Otra encuesta citada por Sophos, realizada por Komprise entre 200 directivos y responsables de TI de empresas estadounidenses con más de 1.000 empleados, encontró que el 90% estaba preocupado por los riesgos asociados con la inteligencia artificial.

Aunque los estudios corresponden a muestras y metodologías diferentes, coinciden en identificar la visibilidad y el control de las herramientas de IA como asuntos prioritarios para las organizaciones.

Sophos AI Defense: una solución para controlar la inteligencia artificial no autorizada

Sophos presentó Sophos AI Defense como una nueva capacidad integrada en Sophos Fusion, su plataforma de defensa de ciberseguridad.

La solución está diseñada para identificar herramientas de inteligencia artificial utilizadas por empleados y aplicaciones corporativas, incluso cuando estas no hayan sido autorizadas previamente por los equipos de seguridad.

Su funcionamiento combina información procedente de dispositivos, redes, procesos de autenticación y navegadores para detectar actividades relacionadas con IA.

Entre sus principales capacidades se encuentran:

• Identificación de herramientas de IA: permite reconocer qué aplicaciones están siendo utilizadas dentro de la organización.
• Visibilidad sobre los usuarios: facilita determinar quién utiliza las herramientas y cómo interactúa con ellas.
• Aplicación de políticas: permite establecer controles sobre actividades y aplicaciones autorizadas o restringidas.
• Protección de información: incorpora mecanismos diseñados para inspeccionar instrucciones o prompts, archivos cargados y otras interacciones con herramientas de IA.
• Investigación de incidentes: integra la información con las capacidades de Sophos XDR y Sophos MDR para facilitar el trabajo de los equipos de seguridad.

La propuesta busca que las empresas puedan gestionar el uso de inteligencia artificial desde una arquitectura de seguridad integrada, en lugar de depender de múltiples herramientas independientes.

“Las organizaciones están adoptando la IA más rápido de lo que pueden protegerla, y la mayoría de los equipos de seguridad no puede responder tres preguntas básicas: qué herramientas de IA están en uso, qué datos se introducen en ellas y si esa actividad cumple con las políticas de la organización”, señaló Kyle Falkenhagen, vicepresidente sénior de Gestión de Producto de Sophos.

El directivo agregó que la nueva solución busca ofrecer mayor visibilidad y capacidad de control para que las empresas puedan adoptar inteligencia artificial bajo políticas definidas.

La inteligencia artificial también está siendo utilizada por ciberdelincuentes

El uso de IA fuera del control empresarial no es la única preocupación para los responsables de ciberseguridad.

Sophos X-Ops, el equipo de investigación de amenazas de la compañía, documentó durante 2026 casos de atacantes que recurrieron a agentes de IA dentro de la red de un cliente para crear y probar cerca de 80 módulos de software malicioso.

La firma también identificó actividades criminales relacionadas con la comercialización de claves de acceso API a modelos avanzados de inteligencia artificial, el intercambio de técnicas para evadir restricciones de estos sistemas y la búsqueda de especialistas en ingeniería de instrucciones o prompts.

Estos hallazgos evidencian cómo la inteligencia artificial puede ser utilizada tanto para fortalecer los procesos empresariales como para ampliar las capacidades de los actores maliciosos.

Para los equipos de seguridad, esta evolución obliga a considerar no solamente las aplicaciones instaladas, sino también las conexiones, permisos y actividades que realizan los agentes de IA dentro de los entornos corporativos.

¿Cómo pueden las empresas reducir los riesgos de Shadow AI?

La expansión de herramientas de IA plantea la necesidad de establecer políticas claras sobre su utilización.

A partir de los riesgos identificados por los estudios y de las capacidades anunciadas por Sophos, las organizaciones pueden estructurar sus controles alrededor de cuatro prioridades.

1. Identificar qué herramientas de IA se están utilizando. Antes de establecer restricciones, las empresas necesitan visibilidad sobre las aplicaciones, agentes y servicios presentes en su entorno tecnológico.

2. Definir qué información puede compartirse. Las políticas deben establecer condiciones para el uso de documentos internos, información de clientes y otros datos corporativos.

3. Gestionar los permisos de los agentes de IA. Las organizaciones deben determinar qué sistemas pueden consultar, qué acciones tienen autorización para ejecutar y bajo qué condiciones requieren supervisión.

4. Integrar la seguridad con los procesos de negocio. Los controles deben permitir que los trabajadores utilicen herramientas autorizadas sin generar riesgos innecesarios para la operación.

Estas medidas requieren coordinación entre las áreas de tecnología, ciberseguridad, gestión de riesgos y los equipos que están incorporando IA a sus actividades.

La experiencia de las empresas también comienza a mostrar cómo la supervisión de estas herramientas puede convertirse en una exigencia comercial.

“Nuestros clientes comenzaron a preguntarnos cómo utilizábamos la IA y cómo la protegíamos”, explicó Anthony Bender, director de Tecnología de Empyreal Logistics.

El ejecutivo señaló que su organización necesitaba establecer mecanismos para regular las herramientas no autorizadas y demostrarles a sus clientes cómo gestionaba el uso empresarial de inteligencia artificial.

La gobernanza de la IA entra en la agenda de los directivos

El crecimiento de Shadow AI está transformando las responsabilidades relacionadas con la adopción tecnológica.

Para los equipos directivos, incorporar inteligencia artificial ya no significa únicamente identificar oportunidades de automatización, productividad o reducción de costos.

También implica establecer quién puede utilizar estas tecnologías, cuáles son los datos que pueden procesar y qué mecanismos permiten verificar el cumplimiento de las políticas internas.

En este terreno, la seguridad de la información deja de ser exclusivamente una responsabilidad técnica para convertirse en un componente de la gobernanza empresarial.

La llegada de soluciones como Sophos AI Defense refleja una oportunidad de negocio para los proveedores de ciberseguridad, pero también evidencia una necesidad que trasciende cualquier plataforma: las empresas requieren conocer y administrar el uso real de inteligencia artificial dentro de sus operaciones.

La adopción de IA sin supervisión puede generar riesgos que no siempre son visibles para quienes toman decisiones. Por ello, el valor empresarial de estas tecnologías dependerá tanto de sus capacidades de automatización como de los controles que permitan utilizarlas sin comprometer información, operaciones y relaciones con los clientes.