Akamai (NASDAQ: AKAM) ha dado a conocer un nuevo informe de su serie State of the Internet (SOTI) en el que analiza cómo las extensiones de navegador no autorizadas y los agentes autónomos vulnerables están incrementando la superficie de ataque de las empresas. El estudio, titulado Enterprise AI Usage Risk Report 2026, pone de manifiesto los riesgos derivados de una adopción descentralizada de la inteligencia artificial, del uso intensivo de estas herramientas por parte de determinados empleados y de la instalación de extensiones de navegador que pueden pasar inadvertidas para los equipos de seguridad.
El documento refleja además un cambio significativo en la forma en que las empresas están incorporando la inteligencia artificial. Lo que a comienzos de 2025 se planteaba en muchas organizaciones como una fase inicial de experimentación se ha convertido progresivamente en una herramienta integrada en la actividad empresarial. Sin embargo, la velocidad con la que se está produciendo esta incorporación ha hecho que, en muchos casos, las medidas de seguridad tradicionales no hayan evolucionado al mismo ritmo, generando nuevos escenarios de riesgo para los sistemas y activos corporativos.
«La IA ya no es solo un motor que impulsa la productividad, sino un colaborador directo con acceso a los activos más valiosos de la empresa», afirma Or Eshed, vicepresidente de Ingeniería y productos de seguridad empresarial de Akamai. «Las herramientas tradicionales de prevención de pérdida de datos se crearon para una era de transferencias de archivos y correos electrónicos. En la actualidad, los datos corporativos confidenciales se fragmentan sistemáticamente en millones de instrucciones fluidas, cuentas personales no gestionadas y agentes de IA autónomos. Los directivos de seguridad deben pasar de intentar bloquear la IA a controlar continuamente su funcionamiento a nivel de interacción».
Vectores de ataque nativos de la IA emergentes
El informe detalla tres novedosas metodologías de amenazas descubiertas por los investigadores en 2026 que eluden por completo las defensas perimetrales tradicionales.
- Vibe hacking: Los atacantes manipulan de forma encubierta los archivos de instrucciones de Markdown locales dentro delentorno de un desarrollador. Esta sutil modificación engaña a los asistentes de programación fronterizos para que generen salidas inseguras o ejecuten acciones no autorizadas, imitando el flujo de trabajo normal de un desarrollador.
- CursorJacking: Las extensiones de navegador no autorizadas aprovechan los permisos amplios para recopilar de forma silenciosa claves de API, bases de código propias y el historial de conversaciones directamente desde el entorno del navegador. Se trata de un ataque de gran impacto dirigido a asistentes de programación de IA populares (como Cursor).
- CometJacking: Al incrustar instrucciones maliciosas en una página web pública, los atacantes utilizan la inyección de instrucciones indirecta para manipular al agente de IA local del usuario. El agente comprometido puede entonces exfiltrar archivos locales, correos electrónicos y credenciales de sesión sin conocimiento del usuario. Esta amenaza se dirige a los navegadores agénticos como Comet AI de Perplexity.
La hoja de ruta para directores de seguridad de la información para proteger la IA en 2026
Para aprovechar los beneficios económicos de la IA sin exponer datos críticos, el informe de Akamai describe cinco estrategias de mitigación esenciales para los directores de seguridad de la información actuales.
- Diríjase a los usuarios avanzados de IA: Dirija la telemetría, la supervisión y el coaching personalizado hacia el 5 % de los empleados de alto riesgo que están detrás de la mayoría de las instrucciones interactivas de IA.
- Elimine la IA en la sombra: Aplique la federación de inicio de sesión único (SSO) en todas las plataformas y detecte continuamente la larga cola de las herramientas de software como servicio (SaaS) de IA de nicho
- Inspeccione la capa de interacción: Haga una transición desde una DLP estática a análisis contextuales de instrucciones en tiempo real, búferes de copiar/pegar y cargas de documentos.
- Valide las extensiones de navegador IDE: Trate las extensiones como software con privilegios altos. Casi el 75 % de las extensiones de IA exigen permisos altos o críticos, y el 16,3 % contiene CVE conocidas.
- Proteja los agentes de IA: Establezca unos límites estrictos de privilegios mínimos y de supervisión del comportamiento para los agentes de IA autónomos que actúan en nombre de los empleados.
Ahora, en su decimosegunda edición, los informes SOTI de Akamai continúan ofreciendo perspectivas críticas sobre las tendencias de la ciberseguridad y el rendimiento de la web, extraídas de los ataques observados en la infraestructura de ciberseguridad de Akamai, que maneja un volumen significativo del tráfico web global.
