Marc Sureda
El nuevo entorno digital impulsado por la inteligencia artificial está redefiniendo el mapa de riesgos en ciberseguridad. Según el informe CyberArk Identity Security Landscape 2025, la aparición de “identidades invisibles”(cuentas de servicio, bots, agentes de IA o pipelines de desarrollo) incrementa la superficie de exposición al acceder a información sensible con una supervisión insuficiente. El 94% de las empresas españolas ha sufrido ataques de phishing o vishing, muchos potenciados por técnicas de deepfake, y el 60% los ha padecido en más de una ocasión.
Adopción de IA y nuevo vector de riesgo
La implantación de herramientas de IA es ya prácticamente universal en el tejido empresarial. Aunque el 99% ya utiliza herramientas de IA, solo el 39% ha implantado medidas específicas para proteger su uso entre los empleados. En paralelo, cuatro de cada diez organizaciones consideran que estas tecnologías elevan su nivel de riesgo, lo que evidencia una madurez desigual entre adopción y control.
El estudio identifica un desplazamiento del foco de protección tradicional, centrado en personas, hacia un escenario donde conviven miles de identidades digitales no humanas con capacidades de acceso ampliadas. La proliferación de identidades no humanas (cuentas de servicio, bots o agentes de IA) se perfila como un vector de riesgo crítico por su acceso a datos sensibles sin la supervisión adecuada. La situación se agrava por el nivel de privilegio con el que operan muchos agentes de IA en procesos y flujos automatizados. El acceso privilegiado de los agentes de IA constituye un riesgo estructural que muchas organizaciones aún no gestionan con la urgencia necesaria.
Recomendaciones para responsables de TI y compras
Ante este escenario, el informe propone evolucionar hacia un enfoque de seguridad centrado en la identidad que abarque tanto a usuarios humanos como a identidades digitales no humanas. La prioridad pasa por asegurar los privilegios y accesos de agentes de IA (incluidos modelos generativos, bots y automatizaciones), a menudo con controles parciales.
CyberArk recomienda una estrategia de seguridad centrada en la identidad con gestión de privilegios (PAM) integrada con IA y automatización para anticipar amenazas y escalar la protección. Este planteamiento apunta a prevención, detección y respuesta continuas a lo largo de todo el ciclo de vida de cada identidad.
