Como cada cierre de año, el equipo de liderazgo de WatchGuard Technologies compartimos nuestras predicciones de ciberseguridad hacia el año siguiente. Estamos cerrando un 2026 marcado por la evolución de IA y transformaciones en los atacantes, lo que anticipo que veremos en los siguientes meses es: Los atacantes dejarán de usar sus propias herramientas. Utilizarán los agentes de IA de las compañías.
Preveo que en 2027 veremos vulneración de datos importantes, ejecutadas por el propio agente de IA de una compañía, usando los permisos y conexiones que le dieron de forma deliberada. Los atacantes llevan años viviendo de los recursos que ya existen en el sistema (living off the land), usando herramientas legítimas dentro del ambiente de la víctima para evitar ser detectados. El siguiente paso en la evolución es “vivir de la IA” (“living off the AI”)”.
Cada vez que se conecta un agente a un correo, documentos compartidos, repositorios de código o datos históricos de clientes, se expande tanto su capacidad de acción como lo que un atacante puede hacer con él. Alguien que tome el control de la cuenta, con credenciales robadas o redirija al agente con prompt injection puede usar esas capacidades a su favor. En lugar de tener que averiguar dónde está la información valiosa y cómo conseguirla, pueden pedirle al agente que haga el trabajo con ellos. Esta actividad puede lucir rutinaria, porque está sucediendo mediante una herramienta aprobada con acceso legítimo.
La presencia de un atacante externo no es lo único que puede salir mal. Un agente puede exponer datos confidenciales mientras resuelve un problema de soporte u omitir un filtro de seguridad para ejecutar una tarea. No tiene que haber un intento malicioso para que las consecuencias sean similares a las de un ataque desde el interior. Un agente buscando un objetivo legítimo también puede tomar decisiones que su dueño no quería.
La supervisión humana no identificará automáticamente estos problemas. El índice de Cyber confianza de WatchGuard identificó que sólo 32% de los empleados siempre verifica la información generada por Inteligencia Artificial antes de actuar. Si el proceso de revisar una respuesta ya es inconsistente, las empresas no deben asumir que cada acción que tome un agente tendrá revisiones exhaustivas.
Los equipos de seguridad necesitan entender de quién son las instrucciones que está siguiendo un agente, a qué tiene acceso y si sus acciones tienen sentido para la tarea solicitada. También necesitan límites ejecutables, puntos claros donde la aprobación humana es requerida como una manera de detener a un agente cuando cruce esos límites.
Ya sea que un atacante dirija al agente o él mismo salga de curso, el permiso para actuar no puede convertirse en permiso para hacer lo que sea necesario. El siguiente gusano se extenderá por instrucciones de IA, no fallas de software
En 2027 espero ver un prompt injection worm que se extienda entre agentes de IA en un ataque en el mundo real. Imagina a un agente leyendo un mail o compartiendo un documento que contiene instrucciones maliciosas. Esas instrucciones lo engañan para copiar la instrucción a mensajes o documentos que cree y otro agente lee ese output y sigue las instrucciones, ampliando el contagio.
La parte más peligrosa es que el agente no necesariamente necesita una vulnerabilidad en el software para extender el ataque. Necesita confundir el contenido que consulta para procesar instrucciones, que debe obedecer. Conforme un negocio conecta agentes a través de procesos de atención a cliente, compras y otros flujos de trabajo, estan creando más oportunidades para que un agente manipulado alcance a otro y potencialmente atraviese todas las barreras de la compañía.
Necesitaremos pensar qué agentes pueden transmitir con el mismo cuidado que la información y datos que pueden acceder. De otro modo, un documento de un socio de negocio confiable se convertirá en el mecanismo de entrega de un ataque que ninguna de las dos empresas quería mandar.
Por Corey Nachreiner, Chief Security Officer de WatchGuard Technologies
