Los agentes de inteligencia artificial ya no son solo una promesa de productividad: también se están usando para atacar. En noviembre de 2026, la unidad de investigación de Acronis describió cómo una sola persona en Taiwán coordinó 12 agentes de IA contra cientos de organizaciones de 11 países, y en septiembre la Agencia Española de Protección de Datos (AEPD) recibió la primera notificación de una brecha en España atribuida a un agente de IA. A eso se suma un riesgo interno: los empleados que usan herramientas de IA que su empresa no ha aprobado, la llamada Shadow AI. La consultora madrileña Logixs ha reunido estos casos en un análisis con recomendaciones; aquí separamos lo verificado de lo que son cifras de parte.
Las claves de los ciberataques con agentes de IA en 30 segundos
- Acronis documentó BOSSAI: un atacante con 12 agentes de IA contra cientos de organizaciones de 11 países y unas 10 intrusiones confirmadas.
- La AEPD recibió en septiembre la primera brecha en España atribuida a un agente de IA.
- Varios estudios apuntan a un uso extendido de IA no aprobada por la empresa.
- La receta coincide: reglas de uso claras, permisos mínimos para los agentes y revisión continua del código generado con IA.
El análisis de Logixs, publicado el 5 de noviembre y firmado por su responsable de seguridad de la información, Luis Bravo, tiene una conclusión que resume bien el enfoque: que el problema «no es de tecnología ni de presupuesto, es de método». Conviene leerlo sabiendo que la compañía vende servicios de seguridad para proyectos de IA y que algunas de sus cifras proceden de su propia actividad, sin metodología publicada.
Lo que ya ha pasado: BOSSAI y el caso de la AEPD
El caso más documentado es BOSSAI. Según la Threat Research Unit de Acronis, un único operador ubicado en Taiwán montó una red de 12 agentes de IA, nueve de ellos activos, con funciones repartidas entre mantener la infraestructura, escanear objetivos e intentar explotar vulnerabilidades. Durante los 12 días que los investigadores observaron la operación, apuntó a servicios de emergencia, bancos, universidades y sistemas militares de al menos 11 países, con unas 10 intrusiones confirmadas en Taiwán, México y Tailandia, entre ellas registros de emergencias de siete distritos de Taipéi.
El informe también muestra los límites de estas herramientas. Los agentes no se comunicaban entre sí y el atacante pasaba a mano los resultados de uno a otro. Los modelos comerciales se negaron casi siempre a colaborar, por lo que el ataque se apoyó en modelos abiertos sin restricciones de seguridad, y los agentes llegaron a inventarse vulnerabilidades inexistentes. Las brechas se produjeron por debilidades clásicas, como controles de acceso deficientes a las API o secretos expuestos; donde había autenticación y filtrado eficaces, los agentes no entraron. La lección es que la IA no inventa nuevos agujeros, pero sí encuentra los existentes más rápido y en paralelo.
En España, la AEPD informó el 14 de septiembre de que había recibido la primera notificación de una brecha de datos personales en la que un tercero usó un agente de IA, apoyado en un modelo de lenguaje conocido, para encadenar varias fases del ataque: localizar fallos, acceder al sistema y consultar datos personales y facturas. No se ha identificado a la entidad afectada ni el modelo usado, como contamos en nuestra información sobre el caso.
Shadow AI y código inseguro: el riesgo de dentro
El segundo frente es interno. Logixs cita un estudio de Cegid según el cual 8 de cada 10 empleados españoles que usan IA en el trabajo recurren a herramientas que no les ha facilitado su empresa, y otro de VML The Cocktail y Salesforce que sitúa en 6 de cada 10 los que la usan sin directrices. Cuando un empleado pega en un chatbot público un contrato, una base de clientes o código propietario, esos datos salen del perímetro de la empresa. Logixs plantea la Shadow AI como «una señal» más que como un enemigo: indica que los empleados necesitan herramientas que la empresa no les está dando.
El otro riesgo es el código generado con IA. El informe GenAI Code Security 2025 de Veracode concluyó que el 45 % de las muestras de código generadas por más de 100 modelos fallaban pruebas de seguridad. Logixs añade, de sus propias auditorías y sin indicar el tamaño de la muestra, que 2 de cada 10 programas construidos con IA tenían alguna vulnerabilidad o credencial expuesta, y que 8 de cada 10 empresas con las que trabaja carecen de protocolos de seguridad específicos para IA. Son cifras que conviene tomar como indicio, no como estadística representativa. El problema de las credenciales es real: en OpenSecurity hemos contado cómo una opción de Claude Code dejó contraseñas expuestas en GitHub.
Qué pueden hacer las empresas
Las recomendaciones de Logixs coinciden con las de otros fabricantes y con lo que muestran casos como BOSSAI:
- Poner reglas y dar alternativas. Definir qué herramientas de IA se pueden usar, con qué datos y con qué permisos, y ofrecer opciones aprobadas para que la Shadow AI no sea la única salida.
- Tratar a cada agente como a un empleado nuevo. Permisos mínimos, registro de cada decisión y pruebas en un entorno aislado, incluidos ataques de inyección de instrucciones, antes de darle acceso a sistemas críticos. Es la misma idea con la que Microsoft pide tratar a los agentes como posibles amenazas internas.
- Revisar el código generado con IA de forma continua. Desde la primera línea hasta producción, con detección de claves expuestas y de datos personales, no con una única revisión al final.
- Reforzar lo básico. Autenticación robusta, control de acceso a las API, secretos fuera del código y parches al día. Es lo que frenaba a los agentes de BOSSAI.
El marco regulatorio también empuja en esa dirección: el Reglamento de IA europeo, DORA para el sector financiero y NIS2 exigen gestionar estos riesgos, y una brecha causada por un agente sigue siendo una brecha a efectos del RGPD.
Preguntas frecuentes
¿Qué es la Shadow AI?
El uso por parte de los empleados de herramientas de inteligencia artificial que la empresa no ha aprobado ni controla, con el riesgo de que datos internos salgan del perímetro.
¿Qué es BOSSAI?
Una red de 12 agentes de IA que, según Acronis, usó un único atacante desde Taiwán contra cientos de organizaciones de 11 países, con unas 10 intrusiones confirmadas.
¿Ha habido ataques con agentes de IA en España?
Sí. En septiembre de 2026 la AEPD recibió la primera notificación de una brecha de datos personales atribuida a un agente de IA.
¿Cómo protejo a mi empresa?
Con reglas claras de uso de IA y alternativas aprobadas, permisos mínimos y pruebas aisladas para los agentes, revisión continua del código generado con IA y una buena higiene de autenticación y secretos.
Fuentes:
