¿Qué es la ciberseguridad basada en IA?

La ciberseguridad de la IA es la práctica de proteger la inteligencia artificial como parte de su superficie de ataque: los modelos, conjuntos de datos, agentes, servidores MCP, mensajes y código generado por IA dentro de su software, además de las nuevas técnicas de ataque que los atacan. También cubre la dirección inversa, usar la IA para fortalecer la defensa, pero la primera dirección es la que crea exposición hoy en día. Esa es la respuesta corta a qué es la ciberseguridad de la IA. Vale la pena estar preparado.cisPiénsalo, porque el término se usa para dos cosas muy diferentes, y comprar la incorrecta deja la otra desprotegida.

El significado de la ciberseguridad de la IA, en dos direcciones #

El concepto de ciberseguridad en el ámbito de la IA se divide en dos líneas muy sencillas: ¿estás protegiendo a la IA o estás siendo protegido por ella?

Garantizar la seguridad de la IA. Su organización crea y desarrolla con IA. Esto introduce activos que nadie había inventariado y modos de fallo para los que las herramientas convencionales nunca fueron diseñadas: una solicitud que acepta datos no confiables, un agente con más permisos de los que necesita para su tarea, un conjunto de datos que contamina un modelo, un servidor MCP que nadie aprobó. Aquí es donde ocurren los incidentes.

Inteligencia artificial para la seguridad. Aprendizaje automático aplicado a la detección, clasificación, explicación y corrección: reduciendo el ruido de las alertas, priorizando los hallazgos aprovechables y desarrollando la solución. Aquí reside la clave de la eficiencia.

La mayoría de los proveedores y artículos confunden ambos conceptos. En el ámbito operativo, la ciberseguridad de la IA implica que se trata de programas independientes con propietarios distintos. Uno representa un problema de superficie de ataque; el otro, un problema de productividad.

¿Qué protege la ciberseguridad de la IA? #

Un inventario, antes que un control. Cada elemento a continuación es un activo del que ahora es responsable el equipo de seguridad.

• Modelosya sea autoalojado, optimizado o llamado a través de una API de proveedor
• Conjuntos de datos Se utiliza para entrenamiento, ajuste fino, evaluación y recuperación.
• Agentes y servidores de agentes que actúan de forma autónoma dentro de sus sistemas
• Servidores MCP que exponen herramientas y datos a esos agentes.
• Indicaciones, archivos de habilidades, archivos de reglas y guardrailsla capa de configuración que rige el comportamiento de la IA
• Puntos finales de inferencia y las credenciales que las alcanzan
• Asistentes de codificación de IA en uso en todos sus equipos y el código que generan
• dependencias de la IA: los marcos y paquetes que utiliza tu pila de IA

Fíjate en lo poco que es código de aplicación. Eso es precisely por qué un SAST La herramienta, un agente EDR y una herramienta de postura en la nube pueden informar en verde mientras un agente en una computadora portátil está exfiltrando datos a través de su propia herramienta de correo electrónico. No es código de aplicación, por lo que no está cubierto por las herramientas que ya ejecuta.

Los tres ataques que solo existen gracias a la IA #

Saber a qué familia de IA te refieres te indica dónde reside el control, y es aquí donde el significado de la ciberseguridad basada en IA deja de ser abstracto.

La primera familia se basa en las instrucciones del modelo. La inyección inmediata ha mantenido la primera posición en el Los 10 mejores candidatos para el Máster en Derecho de OWASP Dado que la lista existía, por una razón simple: cualquier punto donde un modelo lee texto que no escribió es un punto de entrada. La versión peligrosa es indirecta. Nadie escribe el ataque, el modelo lo recupera, de un ticket de soporte, una página web, un pull request Comentario o documento subido por alguien. El modelo no distingue entre instrucciones y contenido, así que sigue ambos. Si se le proporcionan herramientas, la misma técnica se convierte en inyección de herramientas: al cambiar la percepción que el agente tiene de una herramienta, esta actuará en su contra utilizando sus propias credenciales. El exceso de autonomía es el factor multiplicador. Un agente con permisos más amplios de los que requiere su tarea marca la diferencia entre una molestia y un incidente.

La segunda familia se dirige a la capa de configuración. Las indicaciones, los archivos de reglas, los archivos de habilidades y las definiciones del servidor MCP deciden lo que hace la IA en su entorno, y ninguno de ellos es código de aplicación. El archivo de reglas Backdoor demostró hasta dónde llega esto: los caracteres Unicode de ancho cero contienen instrucciones que un revisor humano no puede ver físicamente, el asistente las obedece y nunca las menciona en su respuesta. La técnica está catalogada en ATLAS DE MITRE como AML.CS0041. La misma capa almacena rutinariamente credenciales de proveedores en texto plano y otorga a los asistentes acceso de lectura a mucho más del sistema de archivos de lo que nadie pretendía. En codificación agentica, Esta capa es el volante, y casi nadie la revisa.

La tercera familia se centra en la cadena de suministro de IA. Los modelos, los conjuntos de datos y los paquetes asociados provienen del exterior. El caso más claro es el de la suplantación de identidad (slopsquatting): los modelos de lenguaje inventan nombres de paquetes, los atacantes los registran y el agente instala el código del atacante a petición. Un estudio presentado en USENIX Security 2025 reveló que el 19.7 % de los paquetes recomendados por los modelos de lenguaje no existen y que los nombres inventados se repiten con la suficiente frecuencia como para ser explotados. Junto a esto, encontramos datos de entrenamiento y recuperación manipulados, incrustaciones que filtran su material de origen, servidores MCP no confiables conectados directamente a un agente y marcos de IA vulnerables incorporados como dependencias.

Debajo de los tres se encuentra la IA en la sombra: los modelos, agentes, asistentes y Servidores MCP Ya se ejecuta sin aprobación, revisión ni inventario. Es el estado predeterminado en la mayoría de las organizaciones, y por eso el primer control siempre es una lista.

¿Lo que no es? #

No se trata de gobernanza de la IA. La gobernanza responde a la pregunta de si se debe utilizar un modelo y bajo qué política. La ciberseguridad de la IA responde a la pregunta de si el modelo, el agente y la conexión entre ellos pueden ser atacados.

No es un filtro delante de un chatbot. El filtrado de mensajes en tiempo de ejecución es uno de los muchos controles disponibles. No tiene en cuenta nada sobre el servidor MCP en el portátil del desarrollador, el archivo de reglas modificado en el repositorio ni las credenciales en la configuración de IA.

No está cubierto por lo que ya estás ejecutando. La seguridad tradicional de las aplicaciones se detiene en el repositorio y desconoce qué es un modelo. Las herramientas de seguridad para endpoints supervisan el sistema operativo y no comprenden los paquetes, los servidores MCP ni los asistentes. Los ataques de IA se producen en el espacio que existe entre estos sistemas.

No se trata solo de inteligencia artificial generativa. El aprendizaje automático clásico aplicado al fraude, la fijación de precios y la evaluación de riesgos también es un objetivo, mediante la manipulación, la evasión y la extracción de modelos.

Los marcos que definen el campo #

Los 10 mejores candidatos para el Máster en Derecho de OWASP: la taxonomía de trabajo para el riesgo de las aplicaciones LLM, y la que la mayoría de los equipos de seguridad asignan a los hallazgos.

Las 10 principales vulnerabilidades de OWASP para aplicaciones ámbicas en 2026: la lista complementaria para sistemas autónomos que utilizan herramientas, publicada en diciembre de 2025.

Proyecto de seguridad GenAI de OWASP: el esfuerzo general, que incluye seguridad de datos, orientación sobre servidores MCP y recursos para pruebas de penetración

Marco de gestión de riesgos de IA del NIST y su perfil de IA generativa: el vocabulario de gobernanza que reconocen los reguladores y los consejos de administración.

ATLAS DE MITRE: la base de conocimientos de técnicas adversariales para sistemas de IA, con casos de éxito reales

Ley de IA de la UE: el marco legal, incluidas las obligaciones de documentación técnica que un inventario de IA le ayuda a cumplir

Por dónde empezar #

Inventario. Encuentre todos los modelos, conjuntos de datos, agentes, servidores MCP y asistentes de IA en uso, a partir del código, las dependencias y la configuración, en lugar de mediante una encuesta.

Mapear las relaciones. El riesgo reside en la configuración: qué agente accede a qué herramienta, qué conjunto de datos alimenta a qué modelo.

Lea la capa de configuración. Trate las indicaciones, los archivos de habilidades, los archivos de reglas y las definiciones de MCP como artefactos de seguridad y revíselos como si fueran código.

Permisos de alcance. Dotar a cada agente del menor margen de herramientas posible y de la mínima autonomía que le permita su trabajo.

Hacerlo cumplir donde corresponda. La mayor parte del riesgo asociado a la IA reside en los equipos de los desarrolladores, por lo que las políticas deben aplicarse en el punto final, antes de que se ejecute un servidor no autorizado o un paquete malicioso.

Proteger la IA que utiliza y la IA que crea con #

La respuesta práctica a qué es la ciberseguridad de la IA es que comienza con la visibilidad y termina con la aplicación de la ley. Xygeni descubre todos los activos de IA en su SDLCIncluyendo los modelos, agentes, servidores MCP, conjuntos de datos, archivos de habilidades y solicitudes no declaradas, mapea cómo se conectan y detecta los riesgos específicos de cada uno: inyección de herramientas y solicitudes, instrucciones maliciosas en reglas y archivos de habilidades, configuración insegura de MCP, Secretos en archivos de IA y dependencias de IA slopsquat. Los hallazgos se corresponden con el Top 10 de OWASP para aplicaciones LLM y señalan el archivo y la línea exactos. Un AI-BOM proporciona a sus auditores algo defendible, y la política se aplica en el punto final del desarrollador, donde realmente se ejecuta la mayor parte del riesgo de IA.

La misma inteligencia se aplica a los hallazgos de los escáneres que ya posee, por lo que la seguridad con IA amplía su conjunto de herramientas en lugar de reemplazarlo. Vea a qué están conectados sus agentes en xygeni.

Preguntas Frecuentes #