Casi la mitad de las organizaciones encuestadas (49,8 %) confirmó o sospechó que un agente de IA en su entorno realizó una acción durante el último año que nadie pretendía, esperaba ni autorizaba.
Esto no es una predicción. Es lo que nos contaron los profesionales de la seguridad y la tecnología cuando les preguntamos directamente, en una encuesta a más de 380 organizaciones, sobre su experiencia en los últimos 12 meses.
La IA agente ha avanzado rápidamente. Los datos muestran que ha avanzado más rápido de lo que la mayoría de las organizaciones pueden controlar.
El despliegue ha superado a la gobernanza
El 86,4 % de los encuestados informa que al menos un agente de IA opera en su organización. Más de la mitad ejecuta diez o más. No se trata de proyectos piloto ni experimentos en entornos aislados. Son sistemas en producción que acceden a datos empresariales, invocan herramientas, llaman a API y activan procesos de negocio reales, a menudo encadenando esos pasos en secuencias que ningún equipo diseñó.
El 76,8 % de los encuestados afirma que sus agentes invocan a otros agentes o herramientas que, a su vez, llaman a API. Una sola instrucción de usuario puede generar una cadena de varios pasos a través de sistemas y servicios, con la intención original a varios saltos de distancia de la acción final. Para los equipos de seguridad estructurados en torno a solicitudes individuales y contextos de sesión única, esa arquitectura supone un cambio fundamental.
El 49,8 % de las organizaciones confirmó o sospechó que un agente de IA realizó una acción no autorizada en el último año
¿Qué ocurrió en esos casos? Las respuestas están en el informe completo, pero el patrón que describen no es una amenaza teórica. Implica llamadas a API externas, modificación de datos y, en algunos casos, acceso a información a la que el agente no debería haber tenido acceso. Es un impacto operativo, no un riesgo futuro.
Tres brechas que definen el problema
La encuesta identifica tres brechas de capacidad específicas que, en conjunto, explican por qué las acciones no deseadas de los agentes se están convirtiendo en una realidad operativa documentada.
La brecha de visibilidad.
Solo el 12,5 % de las organizaciones puede rastrear de forma consistente la ruta completa de un agente a través de todos los agentes, desde la instrucción inicial hasta las decisiones del agente, las herramientas, las API y el resultado final. Más del 60 % necesitaría horas o días de trabajo manual para reconstruir lo que hizo un agente específico el día anterior. Para la respuesta ante incidentes, ese retraso es el problema principal. Un agente puede repetir una acción, invocar múltiples servicios o modificar datos sin esperar a que se complete un ciclo de trabajo humano.
El 12,5 % de las organizaciones puede rastrear de forma consistente la ruta completa de un agente a través de todos los agentes
La brecha de contención.
Solo el 17,5 % de las organizaciones puede detener automáticamente a un agente que comienza a comportarse de forma inesperada en producción. La mayoría solo puede intervenir manualmente o desconectando la aplicación. Los controles de detección que se activan después de que un agente ya ha actuado no son contención, pero sí registran lo sucedido.
La brecha de infraestructura.
El 32,9 % de los encuestados ha encontrado al menos un servidor MCP no autorizado, en la sombra o mal configurado en los últimos 12 meses; el 54,3 % lo ha confirmado o sospechado. MCP es la forma en que los agentes descubren y utilizan capacidades externas. También les ayuda a acceder a API, bases de datos y servicios empresariales. Una capa MCP que los equipos de seguridad no pueden inventariar, verificar ni supervisar es una superficie de ataque que no pueden defender.
«Se confía en que los agentes actúen antes de que las organizaciones puedan ver o controlar lo que hacen».
Cómo se ve esto en la práctica
En septiembre de 2026, Salt Labs publicó una investigación que demostraba que un solo correo electrónico malicioso podía secuestrar la plataforma de IA agente Manus y acceder al correo electrónico, almacenamiento en la nube y repositorios de código conectados del usuario, sin necesidad de robar contraseñas ni hacer clic en ningún enlace. El ataque funcionaba insertando una carga útil de JavaScript ofuscada en un correo electrónico. Cuando Manus procesaba el mensaje, decodificaba y ejecutaba la carga útil, establecía una conexión inversa con la infraestructura del atacante y exponía los tokens OAuth de los servicios conectados del usuario.
El propio sistema de protección de la plataforma detectó el ataque. Aun así, no pudo evitar que el código se ejecutara.
Esa investigación fue una prueba de concepto para una sola plataforma. El estudio cuantifica el panorama general. Solo el 17,5 % de las organizaciones puede contener automáticamente a un agente que funciona mal en producción. El sistema de protección de Manus se activó en el momento adecuado y, aun así, fue demasiado tarde. Para la mayoría de las organizaciones, esto no es un caso aislado. Es la arquitectura que utilizan actualmente.
«El sistema de protección detectó el ataque. Aun así, no pudo evitar que el código se ejecutara».
Otro punto crítico: el código generado por IA
El estudio también pone de manifiesto un problema que se sitúa antes de la ejecución del agente: el código que crea y ejecuta los sistemas agentes es generado cada vez más por asistentes de IA, y los hallazgos de seguridad en ese código aparecen tarde en el ciclo de vida del desarrollo.
El 83,5 % de los encuestados estima que el código generado o asistido por IA contribuye al menos a una parte de sus hallazgos de seguridad en las aplicaciones. El informe completo muestra en qué parte del ciclo de vida del desarrollo se detectan realmente esos problemas y cómo es la brecha entre el momento de la generación y el de la implementación en las organizaciones que encuestamos. El panorama no es un problema de los asistentes de codificación. Es un problema de en qué parte del proceso se aplica la seguridad y, para la mayoría de las organizaciones, la respuesta es: demasiado tarde.
El informe abarca qué asistentes se están utilizando, dónde existen brechas de seguridad y cómo es en la práctica un enfoque de desarrollo asistido por IA seguro desde el diseño.
Qué se necesita para cerrar la brecha
Las organizaciones que puedan responder a estas tres preguntas estarán mejor posicionadas para escalar la IA agente sin la exposición al riesgo que describe el estudio:
- ¿Qué agentes existen y a qué pueden acceder?
- ¿Qué hizo este agente? ¿Y podemos reconstruirlo en minutos en lugar de días?
- ¿Podemos detener a un agente antes de que una acción no deseada se convierta en irreversible?
Responder a estas preguntas no se trata de frenar la adopción de la IA. Se trata de hacer que la autonomía de los agentes sea sostenible; dando a la IA el acceso que necesita para hacer su trabajo, mientras se mantiene a los equipos de seguridad en posición de ver, gobernar y contener lo que hace.
El informe completo detalla los datos detrás de todo esto: identidad y gobernanza de agentes, visibilidad y contención de rutas, exposición de la infraestructura MCP, seguridad en la codificación con IA, madurez del programa de seguridad de API y telemetría de producción de Salt Labs de cientos de entornos de clientes, incluidos los primeros hallazgos sobre cómo las rutas de API conectadas a agentes ya se están cruzando con la actividad real de los atacantes.
Obtenga el informe completo
El estado de la IA agentica y la seguridad de las API (segundo semestre de 2026) ya está disponible en https://salt.security/api-security-trends. El informe completo incluye datos por capítulos, desgloses por sectores industriales, recomendaciones para CISO y análisis de telemetría de producción de Salt Labs de cientos de entornos de clientes. Descargue el informe aquí