La seguridad ahora tiene IA en los dos bandos

En enero de 2026, la policía cantonal de Schwyz informó de un caso que hace unos años habría sonado a ficción. Durante dos semanas, unos delincuentes llamaron por teléfono al dueño de una empresa local y se hicieron pasar por un socio comercial que él conocía, con una voz manipulada por IA. Bajo la apariencia de un negocio internacional confidencial, hizo varias transferencias por varios millones de francos a una cuenta en Asia. El fraude se descubrió solo cuando el dinero ya se había ido.

Ese es un lado de la seguridad actual: los atacantes que usan IA. El otro lado está dentro de la empresa, donde los agentes leen el correo, tienen llaves y envían cosas. Una empresa tiene que prepararse para ambos. Construimos agentes para nuestro propio trabajo y para clientes, así que ninguno de los dos lados es abstracto para nosotros.

Una voz familiar

El caso de Schwyz no está solo. En febrero de 2025, Reuters informó de que unos estafadores habían clonado la voz del ministro de Defensa de Italia, Guido Crosetto, para pedir dinero a empresarios con el fin de liberar a periodistas secuestrados. Massimo Moratti, el antiguo dueño del Inter de Milán, envió casi un millón de euros antes de que la policía lo rastreara hasta una cuenta en los Países Bajos y la congelara.

El FBI ya cuenta estos casos por separado. Su informe sobre delitos en internet de 2025 recoge más de 22'000 denuncias que mencionaban la IA, con pérdidas ajustadas superiores a 893 millones de dólares, y señala que muchas víctimas no se dan cuenta de hasta qué punto intervino la IA. Las empresas perdieron más de 30 millones de dólares por fraude por correo electrónico con un componente de IA, en el que un mensaje convincente o una voz clonada pide un pago. El FBI describe también entrevistas de trabajo hechas con voces suplantadas, posiblemente deepfakes, normalmente para conseguir acceso a la red de una empresa.

Phishing sin erratas

Los ataques escritos han cambiado igual de mucho. El Digital Defense Report 2025 de Microsoft comprobó que en los correos de phishing automatizados con IA se hacía clic el 54 por ciento de las veces, frente al 12 por ciento de los correos normales. ENISA, la agencia de ciberseguridad de la UE, escribió en octubre de 2025 que el phishing asistido por IA suponía, según los informes, más del 80 por ciento de la actividad de ingeniería social observada en todo el mundo a principios de 2025.

Los atacantes también usan la IA para la intrusión en sí. En noviembre de 2025, Anthropic informó de una campaña que atribuyó con alto grado de confianza a un grupo patrocinado por el Estado chino, que usó Claude Code contra unas treinta organizaciones y dejó que la IA hiciera entre el 80 y el 90 por ciento del trabajo. Tuvo éxito en un pequeño número de casos. El resumen del primer trimestre de 2026 de OWASP añade una brecha en organismos del gobierno mexicano en la que, según los informes, los atacantes usaron Claude y, en ocasiones, ChatGPT.

Las viejas señales de alarma, una frase torpe o una voz extraña, ya no sirven. La confianza tiene que venir del proceso, no de los sentidos.

Palabras que actúan

Dentro de la empresa, el riesgo tiene otra forma. Un chatbot que da una respuesta equivocada es una vergüenza. Un agente que realiza una acción equivocada es un incidente. La debilidad central es la inyección de prompts, primera en la lista de riesgos de OWASP de 2025 para aplicaciones construidas sobre modelos de lenguaje: instrucciones ocultas en una página web, un archivo o un correo que el modelo lee y sigue.

El National Cyber Security Centre del Reino Unido explicó en diciembre de 2025 por qué es tan obstinada. Los modelos de lenguaje no imponen una frontera entre instrucciones y datos, así que puede que la inyección de prompts nunca llegue a mitigarse del todo como se hizo con la inyección SQL. El trabajo consiste en reducir el riesgo y su impacto. El desarrollador Simon Willison dio nombre a la mezcla peligrosa en junio de 2025: datos privados, contenido no fiable y una vía para comunicarse con el exterior. A un agente que tenga las tres cosas, el texto de un desconocido le puede ordenar que envíe tus datos fuera.

Agentes con llaves

Los incidentes reales siguen esa forma. En junio de 2025, Aim Labs demostró que se podía hacer que Microsoft 365 Copilot filtrara datos internos con un solo correo, sin que la víctima hiciera clic. Microsoft lo había corregido y no vio indicios de abuso. En agosto de 2026, Varonis publicó CoSnitch, una cadena de fallos en Copilot Personal. Un enlace manipulado ejecutaba el prompt de un atacante en la sesión de la víctima, usaba sus conexiones con Gmail, Google Drive, Google Calendar y OneDrive, y enviaba los resultados al exterior a través de la propia función de Copilot para obtener páginas web. Las instrucciones plantadas sobrevivieron en su memoria incluso después de cambiar la contraseña. La suposición que falló, escribieron los investigadores, era que cada llamada a un conector procedía del usuario.

Los conectores son proveedores, con los riesgos de un proveedor. En septiembre de 2025, un paquete del registro npm que se hacía pasar por el servidor MCP del servicio de correo Postmark publicó quince versiones limpias y luego añadió una línea que copiaba cada correo saliente al atacante. Tenía unas 1'500 descargas en una semana cuando Koi Security lo señaló.

El Top 10 de OWASP para aplicaciones agénticas, publicado en diciembre de 2025, nombra ya estos riesgos, desde el secuestro de objetivos y el mal uso de herramientas hasta la memoria envenenada y los agentes descontrolados. Su resumen del tercer trimestre de 2026 añade una observación sobria: los agentes pueden hacer daño simplemente persiguiendo la tarea que se les dio, y los permisos excesivos convierten un fallo pequeño en uno grande. Las instrucciones de un prompt no bastan, por sí solas, para formar una frontera segura.

Defensas que resisten

Las defensas que funcionan en ambos bandos comparten una idea. No dependen de que nadie, ni persona ni modelo, detecte el engaño en el momento. Limitan lo que puede hacer una persona engañada o un agente confundido.

Para las personas, la policía de Schwyz enumera lo que ayuda: verificar cualquier pago urgente o inusual por un segundo canal independiente, mantener el principio de los cuatro ojos en los importes grandes y no hacer ninguna transferencia al extranjero sin una aprobación documentada.

Para los agentes, da a cada uno el acceso más estricto que necesite su trabajo. Cuando un modelo lee contenido de una parte, dice el NCSC, sus privilegios deberían bajar a los de esa parte. Rompe la tríada. Pon el enviar, el pagar, el publicar y el borrar tras una compuerta que el modelo no pueda sortear con palabras. Ejecuta cada escritura bajo la identidad de la persona que la pidió, mantén las credenciales fuera de su alcance, trata cada conector como un proveedor nuevo y registra lo que hizo el agente, no solo lo que dijo.

La IA puede encargarse de las comprobaciones rutinarias y de la lectura. Lo que sigue siendo humano es la pausa cuando una petición no cuadra, el criterio para devolver la llamada y la responsabilidad de quien firma.

Cómo construimos los nuestros

Kontor, nuestro conector para bexio, es un servidor MCP alojado, así que no hay ninguna clave en un portátil y cada persona inicia sesión con su propio acceso. Enviar, pagar y los recordatorios ni siquiera están disponibles para el asistente. Twin aplica las mismas reglas en toda la empresa: acceso por rol, cada escritura firmada por usuario, cada paso registrado.

Allí donde los datos son demasiado críticos para cualquier conexión externa, está Eigna, construido por nuestro socio Eigna Labs: un modelo privado por empresa en su propia nube o en sus propios servidores, diseñado para funcionar totalmente sin conexión en redes cerradas y entrenado para negarse a hackear y a atacar. Y Timbre, nuestro producto para asistentes de voz y clones de voz, solo clona una voz con el consentimiento de quien habla.

Una empresa puede empezar esta semana. Acuerda una regla de devolución de llamada para cada petición de pago, avisa a todos los equipos de que una voz familiar ya no es una prueba, haz una lista de cada agente y conector con el acceso que tiene, y quita lo que no necesita.