La inteligencia artificial está empezando a cambiar una de las reglas básicas de la ciberseguridad: el tiempo disponible entre encontrar una vulnerabilidad y tener que corregirla. Gartner sitúa por primera vez el descubrimiento de vulnerabilidades mediante IA como el principal riesgo emergente para las organizaciones, por delante de los problemas geopolíticos de suministro energético, la IA agéntica y los riesgos relacionados con la integridad de la información.
Las claves de las vulnerabilidades descubiertas por IA en 20 segundos
- Gartner encuestó a 316 directivos y responsables de riesgos durante abril y mayo de 2026.
- El descubrimiento de vulnerabilidades mediante IA entra directamente en el número uno del ranking.
- La IA agéntica ocupa la tercera posición y la integridad de la información, la cuarta.
- El problema no es solo encontrar más fallos: las empresas necesitan verificarlos, priorizarlos y corregirlos con mayor rapidez.
- Google ya reconoce que los humanos tendrán dificultades para seguir el ritmo de estos sistemas.
El cambio tiene además una doble lectura. Las mismas herramientas pueden ayudar a desarrolladores y equipos de seguridad a localizar errores antes de que lleguen a producción, pero también reducen el coste y el conocimiento necesarios para analizar grandes cantidades de software buscando puntos débiles.
No significa que la IA haya convertido automáticamente cualquier vulnerabilidad en un ataque. Entre encontrar un fallo, demostrar que es explotable y utilizarlo contra sistemas reales siguen existiendo diferencias importantes. Pero automatizar una parte creciente de ese recorrido altera la velocidad a la que deben trabajar los equipos defensivos.
La IA puede encontrar vulnerabilidades más rápido que los equipos humanos
El informe Quarterly Emerging Risk Report de Gartner recoge las respuestas de 316 responsables sénior de riesgos y ejecutivos de distintos sectores y regiones.
El ranking del segundo trimestre de 2026 queda encabezado por cinco riesgos:
| Posición 2T 2026 | Riesgo | Posición 1T 2026 |
|---|---|---|
| 1 | Descubrimiento de vulnerabilidades mediante IA | Nueva entrada |
| 2 | Crisis geopolíticas en el suministro energético | Nueva entrada |
| 3 | IA agéntica | 4 |
| 4 | Integridad de la información | 1 |
| 5 | Falta de preparación de la plantilla ante la IA | 5 |
El primer puesto resulta especialmente relevante porque no se refiere simplemente a los tradicionales ataques que utilizan IA como herramienta auxiliar.
Gartner pone el foco en la capacidad de los nuevos sistemas para acelerar el descubrimiento y potencial explotación de vulnerabilidades previamente desconocidas. Si esta capacidad progresa más deprisa que los procesos internos de seguridad y corrección, puede aumentar la diferencia entre lo rápido que aparecen los fallos y lo rápido que una organización puede solucionarlos.
Es un problema de escala.
Un investigador humano dispone de un número limitado de horas para analizar código. Un sistema automatizado puede repetir análisis, examinar diferentes caminos y coordinar herramientas sin que cada nueva ejecución requiera proporcionalmente más horas de especialistas.
Y las primeras demostraciones prácticas indican que ya no se trata únicamente de una posibilidad teórica.
Google explica en su actualización sobre IA responsable de 2026 que herramientas como Big Sleep y OSS-Fuzz han demostrado la capacidad de encontrar nuevas vulnerabilidades en software ampliamente analizado. La compañía considera que, a medida que aumenten la velocidad y escala de estos sistemas, resultará cada vez más difícil que los humanos puedan gestionar por sí solos todo el proceso.
Por esa razón ha desarrollado CodeMender, un agente diseñado para trabajar precisamente en el lado contrario del problema: utilizar modelos de IA para ayudar a reparar vulnerabilidades.
Encontrar 100 fallos también significa tener que revisar 100 fallos
Aquí aparece uno de los aspectos menos visibles de esta evolución.
Encontrar vulnerabilidades automáticamente no elimina el trabajo humano. Puede trasladar el cuello de botella hacia la validación, priorización y corrección.
Un sistema capaz de encontrar miles de posibles problemas sería poco útil si los equipos de seguridad tuvieran después que dedicar meses a separar vulnerabilidades explotables de falsos positivos.
Por eso una de las líneas de investigación actuales consiste en conseguir que los agentes no se limiten a señalar código sospechoso, sino que puedan aportar evidencias que permitan validar sus hallazgos.
Un ejemplo reciente es Chai, un sistema presentado en junio de 2026 para localizar usos incorrectos de criptografía. Sus investigadores evaluaron la tecnología sobre bibliotecas X.509, JWT y SAML y aseguran haber localizado más de 100 vulnerabilidades, incluida una vulnerabilidad crítica previamente desconocida en una biblioteca SSL utilizada en miles de millones de dispositivos.
También resulta revelador lo que está ocurriendo alrededor de Chrome. Durante 2026 Google ha intensificado el uso de IA para localizar, clasificar y ayudar a solucionar vulnerabilidades, hasta el punto de experimentar con una frecuencia de actualizaciones de seguridad mucho mayor para absorber el incremento de hallazgos.
El resultado plantea una paradoja interesante: encontrar muchos más errores puede hacer que inicialmente las estadísticas de vulnerabilidades empeoren, aunque el software termine siendo más seguro.
Si una herramienta descubre en meses fallos acumulados durante años, el número de vulnerabilidades conocidas aumentará de forma abrupta. La cuestión relevante será cuánto tiempo permanece cada una sin corregir.
Del Patch Tuesday al parche continuo
La consecuencia para las empresas puede ser un cambio importante en la gestión tradicional de vulnerabilidades.
Durante años muchas organizaciones han trabajado con ciclos relativamente predecibles: escaneo, clasificación, ventana de mantenimiento, parcheo y nueva comprobación.
Ese modelo empieza a resultar incómodo cuando el descubrimiento se vuelve continuo.
Gartner recomienda precisamente acelerar las estrategias de respuesta y utilizar procesos de remediación automatizados, además de revisar la valoración del riesgo y reforzar los controles sobre proveedores y terceros.
El problema afecta especialmente a las organizaciones con grandes cantidades de software heredado. Una empresa puede tener miles de servidores, aplicaciones internas, dispositivos de red, bibliotecas de código abierto y productos de terceros.
Una IA capaz de analizar código de forma continua puede encontrar vulnerabilidades a una velocidad muy superior a la capacidad del departamento de sistemas para probar y desplegar actualizaciones.
La automatización defensiva tendrá entonces que avanzar en paralelo a la automatización del descubrimiento.
Esto puede significar más análisis de código asistido por IA antes de producción, pruebas automáticas, priorización basada en explotabilidad, despliegue progresivo de actualizaciones y agentes capaces de proponer correcciones.
También puede aumentar la importancia de arquitecturas diseñadas para reducir las consecuencias de una vulnerabilidad incluso antes de que exista un parche: segmentación, aislamiento de cargas, mínimos privilegios y reducción de servicios expuestos.
La IA agéntica también sube en la lista de preocupaciones
El ranking de Gartner muestra además que el problema de la IA para las empresas va bastante más allá de la ciberseguridad.
La IA agéntica pasa de la cuarta a la tercera posición. Gartner engloba aquí el riesgo de que agentes capaces de tomar decisiones y ejecutar acciones operen de maneras incompatibles con políticas empresariales, requisitos legales, principios internos o mecanismos de supervisión.
La integridad de la información, que encabezaba la clasificación anterior, baja al cuarto puesto. Incluye el riesgo derivado de datos públicos poco fiables, contenido generado mediante IA y dificultades crecientes para determinar qué información puede utilizar una empresa para tomar decisiones.
En quinta posición permanece la falta de preparación de los trabajadores para utilizar IA.
El segundo riesgo es diferente, pero está relacionado indirectamente con el crecimiento tecnológico: las crisis geopolíticas en el suministro energético aparecen directamente en el segundo puesto. Gartner señala los posibles efectos de conflictos, sanciones y disrupciones de infraestructura sobre producción, distribución y logística.
La fotografía que deja el informe resulta así bastante diferente a la de hace apenas unos años. Tres de los cinco principales riesgos emergentes identificados están directamente relacionados con la inteligencia artificial.
Pero el primero tiene una característica particular: la misma tecnología que genera el riesgo puede convertirse en parte de la defensa.
Los equipos de seguridad podrán utilizar agentes para buscar vulnerabilidades antes que los atacantes, generar pruebas, analizar dependencias y acelerar correcciones. El reto estará en conseguir que la capacidad para remediar software avance aproximadamente a la misma velocidad que la capacidad para encontrar lo que está mal.
Preguntas frecuentes
¿Cuál es el principal riesgo emergente para las empresas en 2026?
Según el informe de Gartner correspondiente al segundo trimestre, el descubrimiento de vulnerabilidades de ciberseguridad mediante inteligencia artificial ocupa el primer puesto.
¿La IA ya puede encontrar vulnerabilidades desconocidas?
Sí. Existen sistemas experimentales y herramientas utilizadas por compañías como Google que ya han encontrado vulnerabilidades previamente desconocidas. Investigaciones recientes también muestran resultados en áreas específicas como errores criptográficos.
¿Por qué encontrar vulnerabilidades con IA puede convertirse en un problema?
Porque encontrar fallos más rápidamente no significa corregirlos automáticamente. Si el descubrimiento supera la capacidad de validación, priorización y parcheo, las organizaciones pueden acumular vulnerabilidades conocidas pendientes de resolver.
¿Qué otros riesgos relacionados con la IA aparecen en el ranking de Gartner?
La IA agéntica ocupa el tercer puesto, la integridad de la información el cuarto y la falta de preparación de los trabajadores ante la IA aparece en quinta posición.
vía: gartner
