Tenable Research revela una creciente brecha de exposición de la IA impulsada por los riesgos de la cadena de suministro y la falta de controles de identidad.

Tenable® (NASDAQ: TENB), la empresa de Exposure Management, ha publicado hoy su Informe 2026 de Tenable: Riesgos de seguridad de IA y nube. La investigación revela que las organizaciones se enfrentan a una brecha de exposición de la IA de margen cero, ya que heredan los riesgos cibernéticos más rápido de lo que pueden abordarlos. La velocidad de la ingeniería -impulsada por la adopción de la IA, el código de terceros y la escala de la nube- ha superado la capacidad humana de evaluar, priorizar y corregir los riesgos antes de que los exploten los agentes maliciosos.

La brecha de exposición de la IA es una forma de exposición en gran medida invisible que surge a través de aplicaciones, infraestructuras, identidades, agentes y datos, y que la mayoría de los equipos de seguridad no están equipados para gestionar. El análisis de Tenable de los entornos en la nube identifica graves riesgos en cuatro áreas clave de seguridad: La postura de seguridad de la IA, los vectores de ataque a la cadena de suministro, la implantación de privilegios mínimos y la exposición de la carga de trabajo en la nube, todo ello exige una atención inmediata. El informe incluye orientaciones prácticas para que los líderes de negocios y de seguridad reduzcan los riesgos en los entornos de la nube y la IA.

Entre los hallazgos clave del Informe 2026 de Tenable: Riesgos de seguridad de IA y nube, se incluyen:

• El 70 % ha integrado al menos un paquete de IA o de protocolo de contexto de modelo (MCP) de terceros, incorporando la IA profundamente en las aplicaciones y la infraestructura, a menudo sin supervisión de seguridad central.
• El 86 % hospeda paquetes de código de terceros con vulnerabilidades de gravedad crítica, lo que convierte a la cadena de suministro de software en una fuente primaria y persistente de exposición a la nube. Además, casi 1 de cada 8 (13 %) ha implementado paquetes con un historial conocido de riesgo, como los gusanos s1ngularity o Shai-Hulud.
• El 18 % de las organizaciones ha concedido a los servicios de IA permisos administrativos que rara vez se auditan, lo que crea un catálogo "preempaquetado" de privilegios que los atacantes pueden reclamar.
• Las identidades no humanas, como los agentes de IA y las cuentas de servicios, representan ahora un riesgo mayor (52 %) que los usuarios humanos (37 %), formando "combinaciones tóxicas" de permisos y accesos que las herramientas fragmentadas no consiguen conectar.
• El 65 % posee secretos "fantasma" -credenciales en la nube sin usar o sin rotar-, de los cuales el 17 % están vinculados específicamente a privilegios administrativos críticos.
• El 49 % de las identidades con permisos excesivos de gravedad crítica están inactivas.

"Los sistemas de IA integrados en la infraestructura plantean un riesgo crítico que los CISO y los defensores deben abordar, además de anticiparse a las amenazas emergentes tanto de la IA como de las tecnologías en la nube". La falta de visibilidad y gobierno significa que los equipos están a merced de nuevas exposiciones, incluidas las identidades con privilegios excesivos en la nube", afirmó Liat Hayun, Senior Vice President of Product Management and Research de Tenable. "Al centrarse en la ruta unificada de la exposición, las organizaciones pueden dejar de gestionar la "deuda de seguridad" y empezar a gestionar el riesgo real para sus negocios".

Para gestionar los riesgos emergentes, las organizaciones deben proteger el proceso de integración de la IA mediante una visibilidad completa y controles centrados en la identidad. Esto incluye la aplicación de privilegios mínimos para las funciones de IA, la neutralización del riesgo de identidad "fantasma" y la eliminación de la exposición estática de secretos. El código de terceros y las cuentas externas son ahora extensiones de la infraestructura de las organizaciones; los pasos para reducir la exposición de la cadena de suministro ampliada incluyen la unificación de la visibilidad a través de paquetes de código, máquinas virtuales, acceso de identidad y entornos en la nube. 

El Informe 2026 de Tenable: Riesgos de seguridad de IA y nube, presenta hallazgos del equipo de Tenable Research, analizando telemetría anonimizada de diversos entornos empresariales y de nube pública recopilada desde abril hasta octubre de 2025 (los hallazgos de IA se extendieron hasta diciembre de 2025).

Exposure Management es la práctica de identificar, evaluar y priorizar los riesgos planteados por todos los puntos de entrada que un atacante podría explotar. Esto incluye no solo las vulnerabilidades de software (CVE), sino también los errores de configuración, los privilegios excesivos de los usuarios (riesgo de identidad), las brechas de seguridad en la nube y los activos ocultos creados por la IA y las cadenas de suministro de terceros.

Descargue el informe aquí.

Lea la publicación del blog de hoy aquí.

Acerca de Tenable

Tenable® es la empresa de Exposure Management que expone y cierra las brechas de ciberseguridad que deterioran el valor, la reputación y la confianza en el negocio. La plataforma de gestión de exposición basada en IA de la empresa, unifica estratégicamente visibilidad, información y acciones relativas a la seguridad a lo largo de la superficie de ataque, para así proporcionar a las organizaciones modernas protección contra ataques que va desde su infraestructura de TI hasta sus entornos en la nube e infraestructura crítica, y todo lo que hay en medio. Al proteger a las empresas contra la exposición de seguridad, Tenable reduce el riesgo para el negocio de más de 40 000 clientes en todo el mundo. Obtenga más información en es-la.tenable.com.

###

Contactos de medios de comunicación:

Tenable

[email protected]