Un informe de IRONSCALES revela que los agentes de IA se están convirtiendo en un nuevo objetivo del phishing

Un mensaje de phishing ya no necesita convencer al empleado propietario de una bandeja de entrada. Puede dirigirse al software que la lee en su nombre. Esa es la principal advertencia del nuevo informe de IRONSCALES, De los deepfakes a los agentes dobles: la nueva cara del riesgo cibernético impulsado por IA, que concluye que la adopción empresarial de herramientas capaces de actuar ha avanzado más rápido que los controles de seguridad que las rodean.

En la encuesta de Censuswide encargada por la empresa, el 77 % de los participantes afirmó que, durante el año anterior, un agente o una herramienta de IA de su organización había actuado sobre contenido malicioso, engañoso o no autorizado. Un porcentaje menor, pero aun así considerable, del 57 % informó de al menos un caso confirmado. Estas cifras reflejan los incidentes reportados por los participantes, incluidos los casos sospechosos que forman parte del total más amplio; no constituyen un recuento verificado de forma independiente de brechas exitosas.

Los resultados se dan a conocer junto con una evolución más alentadora: aumentó la inversión en defensas contra los deepfakes, mientras que las pérdidas financieras reportadas fueron menos graves. En conjunto, los resultados señalan un desafío práctico para los responsables de seguridad: ampliar la protección a los sistemas automatizados que toman decisiones sin abandonar las defensas diseñadas para las personas.

Los agentes de IA tienen acceso a sistemas importantes

Censuswide encuestó a 501 profesionales de TI y ciberseguridad de Estados Unidos, con cargos de nivel gerencial medio o superior, que trabajaban en empresas con entre 1.000 y 10.000 empleados. Los participantes tenían entre 25 y 55 años, y el trabajo de campo se realizó del 9 al 17 de septiembre de 2026. Por lo tanto, los resultados describen esta muestra empresarial, no a todas las empresas que utilizan IA.

En esta muestra, el 96 % afirmó que sus organizaciones utilizan agentes o herramientas de IA capaces de actuar en nombre de los empleados, y el 52 % describió su adopción como generalizada. El informe aplica una definición amplia que incluye herramientas que leen y responden mensajes, acceden a archivos y activan flujos de trabajo.

Entre las organizaciones que utilizan estas herramientas, el 67 % permite el acceso a sistemas de gestión de incidencias o de asistencia técnica, el 56 % al almacenamiento en la nube y el 49 % al correo electrónico o la mensajería. Otro 30 % permite el acceso a sistemas de finanzas, facturación, compras o pagos. Solo el 19 % afirmó que sus herramientas estaban limitadas a la web pública, sin acceso interno.

La diferencia entre responder una pregunta y ejecutar una acción tiene consecuencias importantes. Un resumen incorrecto puede inducir a error a quien lo lee; una herramienta conectada a sistemas empresariales también puede transferir información o iniciar un flujo de trabajo. Los permisos de la herramienta ayudan a determinar hasta dónde puede llegar un error.

La bandeja de entrada también es una puerta de entrada para los agentes

Entre los participantes que informaron de un incidente relacionado con agentes de IA, el 42 % afirmó que una herramienta de IA había resumido un correo electrónico o mensaje malicioso, o había actuado sobre él. Otro 41 % informó de que un atacante había utilizado una herramienta de IA para realizar phishing o ingeniería social. Estas categorías pueden solaparse, y la segunda incluye el uso de IA por parte de atacantes, que no necesariamente implica que se haya vulnerado el agente de la propia víctima.

Ese matiz importa. La encuesta reúne en una misma imagen varios tipos de fallos relacionados con la IA; no demuestra que todos los incidentes implicaran la misma técnica de ataque. Aun así, muestra por qué las organizaciones deben examinar tanto el contenido que procesan los agentes como las acciones que permiten sus integraciones.

Una forma útil de entender el riesgo es distinguir entre información y autoridad. Un mensaje puede contener instrucciones, pero su llegada a una bandeja de entrada no debería conferirles autorización. Cuando el software puede actuar en distintos sistemas conectados, mantener esa separación pasa a formar parte del control de acceso y del diseño de los flujos de trabajo.

La plataforma de seguridad del correo electrónico de IRONSCALES refleja su enfoque en ese punto de entrada. La empresa describe un enfoque basado en API que combina análisis de IA, investigación automatizada e inteligencia humana sobre amenazas, además de simulaciones de phishing y protección contra deepfakes para Microsoft Teams. Estas capacidades aportan contexto a la perspectiva del patrocinador de la investigación; esta encuesta no evalúa de forma independiente la eficacia de sus productos.

Existen procesos de aprobación, pero rara vez los lidera el área de seguridad

Entre los 479 participantes cuyas organizaciones utilizan herramientas de IA capaces de actuar, el 78 % señaló al área de TI como principal responsable de aprobar agentes, asistentes, complementos y conectores. Solo el 6 % señaló al área de seguridad, mientras que el 14 % describió la aprobación como una responsabilidad compartida entre distintos grupos.

Ser el principal responsable de aprobar estas herramientas no es lo mismo que participar en el proceso. Las cifras no indican que el área de seguridad esté excluida de todos los demás procesos de aprobación. Sí muestran que las decisiones sobre herramientas con acceso significativo suelen estar lideradas por otras áreas.

Entre las organizaciones que informaron de un incidente, el 39 % afirmó que un empleado había concedido a una herramienta de IA un acceso que el área de seguridad no habría aprobado. Este resultado concreta la cuestión de la gobernanza: ¿quién evalúa los permisos antes de habilitar un conector y quién puede revocarlos si la herramienta se comporta de forma inesperada?

El informe también detecta una brecha entre la confianza y la implementación. Aunque el 93 % afirmó que los planes de respuesta a incidentes contemplan los agentes de IA y el 84 % dijo confiar en su capacidad para identificar un incidente impulsado por IA, solo el 52 % describió las políticas formales, los controles y los procesos de respuesta a incidentes como elementos que ya estuvieran todos implantados. Otro 35 % informó de que contaba con políticas, pero con controles técnicos limitados.

Las pérdidas por deepfakes disminuyeron, pero la amenaza persistió

Los hallazgos sobre deepfakes ofrecen una comparación más favorable con la encuesta de 2025 de Censuswide, realizada a 500 personas con el mismo perfil. La inversión activa en medidas de defensa aumentó del 37 % al 48 %. Entre las organizaciones que informaron pérdidas económicas, la proporción que perdió al menos 100.000 dólares bajó del 63 % al 49 %, y la que perdió 1 millón de dólares o más cayó del 6 % al 3 %.

Las pérdidas medias estimadas entre las organizaciones afectadas económicamente bajaron de aproximadamente 280.000 a 225.000 dólares. Estas estimaciones utilizan los puntos medios de los intervalos de pérdidas declarados. Como las encuestas preguntaron de manera distinta sobre las pérdidas, la comparación excluye las respuestas que indicaban pérdidas nulas, las de quienes no estaban seguros y las de quienes prefirieron no responder.

El informe advierte explícitamente que el hecho de que el aumento de la inversión coincida con la reducción de las pérdidas no demuestra que una cosa haya causado la otra. Tampoco desaparecieron los incidentes: el 84 % informó de al menos un incidente relacionado con deepfakes, frente al 85 % en 2025. La definición es amplia e incluye desde imágenes manipuladas y correos electrónicos falsificados hasta la suplantación de identidad por voz y video en tiempo real.

También existe un problema de prioridades contrapuestas. La proporción de quienes consideran que la defensa frente a los deepfakes es una prioridad máxima bajó del 71 % al 60 %, incluso cuando la IA capaz de actuar añade otra exigencia a los presupuestos de seguridad. La reducción de las pérdidas es un motivo para analizar qué está funcionando, en lugar de dar por hecho que la amenaza ya pasó.

Proteger las acciones, no solo la conversación

IRONSCALES recomienda involucrar al equipo de seguridad en la aprobación de agentes, limitar los permisos, supervisar las acciones y poner a prueba la respuesta a incidentes mediante ataques dirigidos tanto a empleados como a agentes. Estas recomendaciones conectan los dos temas del informe: el contenido engañoso sigue siendo peligroso, pero el software con permiso para actuar cambia la forma en que ese engaño puede tener consecuencias.

Para un equipo empresarial, eso significa saber qué agentes existen, a qué sistemas puede acceder cada uno y qué acciones requieren revisión humana. Los registros deben permitir reconstruir qué leyó e hizo la herramienta. Las pruebas deben determinar si un mensaje no confiable puede influir en un flujo de trabajo autorizado, en lugar de medir únicamente si los empleados reconocen un correo electrónico sospechoso.

La principal aportación del informe es su descripción de la brecha entre la adopción, la confianza y los controles implementados. Los lectores pueden consultar las preguntas de la encuesta, las salvedades metodológicas y las recomendaciones en el informe completo De los deepfakes a los agentes dobles: el nuevo rostro del riesgo cibernético impulsado por la IA.