El nuevo riesgo cibernético ya no implica necesariamente un archivo adjunto con trampa explosiva, sino un simple mensaje enviado a ChatGPT, Copilot o Gemini. Shadow AI prospera en el navegador, donde las herramientas de seguridad tradicionales todavía prestan muy poca atención.
En los últimos años, los principales temas de la ciberseguridad corporativa han sido las memorias USB, el correo electrónico e incluso el phishing. Cada época tiene su vector de riesgo dominante, uno que todavía no hemos aprendido realmente a monitorear porque se confunde con un uso legítimo, incluso esencial.
Hoy en día, este vector es la IA generativa, más precisamente la forma en que los empleados la usan todos los días, sin que nadie lo vea.
Un punto ciego estructural
En dos años, el uso de la IA en las empresas se ha multiplicado por 61 (fuente Cyberhaven). Esta cifra no refleja una adopción organizada, gestionada y gobernada; refleja una realidad sobre el terreno donde los equipos utilizan las herramientas que los hacen efectivos, con o sin validación del departamento de TI. El 82% de los empleados que utilizan IA lo hacen desde una cuenta personal (fuente LayerX) y, entre ellos, el 48% no habla con su jefe al respecto (fuente Microsoft).
Esto no es malicia, sólo productividad, y esto es precisamente lo que hace que el tema sea tan difícil de abordar con herramientas tradicionales.
Porque las soluciones DLP (Prevención de pérdida de datos) fueron diseñadas para el mundo anterior. Monitorean archivos adjuntos, memorias USB y correos electrónicos salientes, vectores de otra época. Pero no ven copiar y pegar en un campo de texto web ni tráfico HTTPS a un dominio autorizado o no autorizado.
El navegador, una puerta de entrada a menudo olvidada
Paradójicamente, el navegador se ha convertido en la herramienta de trabajo central de casi todos los empleados y, sin embargo, sigue siendo el eslabón menos supervisado de la cadena de seguridad. Alrededor del 70% de los ciberataques actuales tienen el navegador como punto de entrada, pero la mayoría de las arquitecturas de seguridad todavía lo tratan como un canal pasivo.
Con la IA generativa, esta brecha se vuelve crítica. Por lo tanto, ya no se trata sólo de que un usuario descargue un archivo infectado o haga clic en un enlace malicioso. Ahora es un empleado el que pega, en un campo de entrada perfectamente normal, las especificaciones de una licitación, una nota de recursos humanos, un informe de cliente, una estrategia comercial. La intención es inocente pero la consecuencia no.
Prohibir no soluciona nada
Ante esta observación, la respuesta instintiva de muchas organizaciones es prohibir ChatGPT, filtrar los dominios de IA y agregar una línea en los estatutos de TI.
Sin embargo, bloquear no es la mejor opción. Las restricciones se evitan en segundos desde una red personal o un teléfono. Además, privan a los equipos de herramientas que los hacen más eficaces. Una empresa que bloquea la IA de forma predeterminada no protege sus datos, se dispara a sí misma en términos de competitividad, manteniendo al mismo tiempo la ilusión de control.
La IA en la sombra no se combate con interdicciones, sino con visibilidad y control de fuentes.
Proteger sin restringir
Una solución eficaz es romper el vínculo entre lo que el usuario hace en su navegador y lo que realmente sucede afuera, aislando la sesión de navegación en un entorno remoto y seguro. Concretamente, un empleado puede acceder a cualquier herramienta de inteligencia artificial generativa, ChatGPT, Copilot, Gemini, desde un entorno donde la entrada, copia y pegado del teclado y las cargas se controlan en tiempo real, según el nivel de sensibilidad de la sesión. La política de seguridad se aplica de forma transparente, sin fricciones para el usuario, sin necesidad de instalar ningún agente ni imponer navegador.
Esta no es una restricción encubierta. Esta es una forma de hacer que la IA sea accesible para todos los empleados, incluso en los entornos más sensibles, sin exponer el sistema de información.
Shadow AI no es un problema de comportamiento, es un problema arquitectónico. Mientras el navegador permanezca fuera del perímetro de seguridad de la empresa, todas las políticas de gobernanza de la IA seguirán siendo declaraciones de intenciones.
Es poco probable que las próximas grandes violaciones de datos que experimenten las organizaciones sean el resultado de un ciberataque sofisticado. Basta con que los hackers esperen pacientemente a su objetivo, que intenta ahorrar treinta segundos en una reformulación.
____________________________
Par Antonio Damiensgerente de producto; Navegador virtual
____________________________
Lea también:
Blackfog cuantifica el alcance de Shadow AI
Shadow IA: el nuevo “Shadow IT”…
Shadow AI: cómo proteger su SI frente a la IA invisible…
Shadow Agentic, la suite de Shadow AI y Shadow IT. .
Cuando Shadow IT se encuentra con Shadow AI: la pesadilla de los CIO y CISO
Vistas de publicaciones: 1 048
[
