En un evento en Los Ángeles el 24 de mayo, el COO de Google Cloud, Francis de Souza, hizo una declaración que resonó en toda la industria: ‘Todos estamos navegando la seguridad de la IA en tiempo real, incluso Google’. La afirmación resume uno de los desafíos más urgentes del sector tecnológico en 2026: cómo asegurar sistemas de IA que evolucionan más rápido que los frameworks de seguridad que los rodean.
Las vulnerabilidades que nadie esperaba
Uno de los hallazgos más inquietantes compartidos en el evento provino de investigaciones recientes: cuando un atacante compromete una clave de API de Google, puede seguir usándola hasta 23 minutos después de que el usuario legítimo la haya eliminado, gracias a los tiempos de propagación gradual de la revocación en la infraestructura distribuida de Google. La tasa de éxito de estos ataques puede superar el 90% dentro de esa ventana.
- Claves API comprometidas siguen activas hasta 23 minutos tras su eliminación
- Tasa de éxito de ataques en esa ventana: más del 90%
- Los agentes de IA crean nuevas superficies de ataque no contempladas en frameworks tradicionales
- Los prompts injection pueden manipular agentes para ejecutar acciones no autorizadas
- Ninguna empresa tiene un playbook completo para seguridad agéntica
Los nuevos vectores de ataque de la IA agéntica
Los agentes de IA que ejecutan tareas autónomamente introducen vectores de ataque completamente nuevos. Un agente que navega la web, lee emails y ejecuta código puede ser manipulado mediante instrucciones inyectadas en el contenido que consume (prompt injection), lo que le haría ejecutar acciones dañinas creyendo que las instrucciones provienen del usuario legítimo.
La velocidad con la que avanza la IA es inversamente proporcional a la velocidad con la que avanza la seguridad de la IA. Esa brecha es el mayor riesgo del sector.
El llamado a la industria
De Souza llamó a las empresas tecnológicas a colaborar en el desarrollo de frameworks de seguridad para IA agéntica, reconociendo que ninguna compañía tiene todas las respuestas. La CISA (Agencia de Ciberseguridad e Infraestructura de EE.UU.) publicó esta misma semana una guía preliminar para asegurar sistemas de IA en entornos empresariales.
