Ir al contenido principal
Imagen destacada del blog «Cómo comprender la IA en la sombra en su entorno de terminales»
Tema de actualidad

Comprender la IA «en la sombra» en su entorno de terminales

La IA generativa —y los grandes modelos de lenguaje en particular— alcanzó una adopción masiva por parte de los consumidores a partir de finales de 2022 y principios de 2023, y ChatGPT alcanzó 100 millones de usuarios más rápido que cualquier otra aplicación de consumo de la historia.

Desde entonces, la inteligencia artificial ha avanzado a un ritmo vertiginoso y ahora parece estar presente en todas las herramientas, aplicaciones y páginas web, independientemente de lo útil que pueda resultar en realidad. Las tecnologías de IA ofrecen aplicaciones increíbles, potentes y capaces de multiplicar la eficacia; sin embargo, su rápida expansión y adopción plantean riesgos para los que la mayoría de las organizaciones no estaban preparadas, sobre todo a medida que los sistemas de IA pasan de la fase experimental a la de aplicación práctica, creando las condiciones para una expansión descontrolada de la IA « » ( agentic AI) , en la que la autonomía y la escala superan a la visibilidad y el control.

[Descubra cómo los últimos avances en inteligencia artificial agencial están haciendo que los sistemas autónomos pasen de desempeñar funciones de asesoramiento a la ejecución directa, y qué exige ese cambio a la gobernanza de las tecnologías de la información]


Sí, la inteligencia artificial es una nueva y ambiciosa frontera, pero la gestión de activos y la visibilidad siguen siendo la base de una buena gestión de la seguridad y del riesgo. Hemos ido más allá del hardware, los sistemas operativos y el software instalado, y ahora debemos tener en cuenta aspectos como la lista de materiales de software (SBOM), los ecosistemas de navegadores, los entornos de desarrollo integrado (IDE), el software como servicio (SaaS) basado en la nube y todas las formas en que la inteligencia artificial puede estar presente en su organización.

Repasemos el panorama general, las amenazas y los elementos fundamentales que necesita para hacer frente a este reto.

¿Qué es la IA en la sombra?

La mayoría de los profesionales del sector tecnológico, desde el servicio de asistencia técnica hasta la alta dirección, conocen muy bien el «» o «TI en la sombra»": el software y los dispositivos que utilizan los empleados sin autorización oficial. Al igual que su predecesor, el término «IA en la sombra» hace referencia a la presencia o el uso de herramientas, aplicaciones o infraestructura de IA sin el conocimiento ni la autorización de los equipos de TI o de seguridad.

En la mayoría de los casos, el uso de la IA en la sombra resulta inofensivo. La mayoría de las personas desean maximizar su productividad mediante una nueva tecnología, o quizá estén utilizando una herramienta sin siquiera darse cuenta de que incorpora capacidades de inteligencia artificial. El riesgo de la IA en la sombra no radica únicamente en la presencia de herramientas de IA, sino en las conexiones, las acciones y el flujo de datos sobre los que quizá no tenga visibilidad. Además, a diferencia de la «TI en la sombra», la «IA en la sombra» puede actuar, tomar decisiones y propagar riesgos de forma autónoma.

Existe una importante brecha de visibilidad en la cobertura de la IA «en la sombra»:
. Las herramientas de seguridad tradicionales (DLP en la nube, CASB, cortafuegos) no detectan la IA local. La IA local y la basada en la nube requieren técnicas de supervisión diferentes. Lamentablemente, la rapidez con la que se difunde y se adopta la inteligencia artificial está superando nuestra capacidad para regularla y garantizar su seguridad.

Para comprender dónde se esconde la IA en la sombra y por qué resulta tan difícil de gestionar, resulta útil conocer algunas de las principales formas que adopta actualmente en los entornos empresariales.

El primer ejemplo son los modelos de IA locales, en los que el modelo de lenguaje de IA se ejecuta directamente en el equipo del usuario o en un servidor interno, en lugar de en un servicio en la nube como ChatGPT, Copilot o las aplicaciones o navegadores de Claude.

El segundo mecanismo son los agentes de inteligencia artificial, que amplían la capacidad de los modelos de lenguaje a gran escala (LLM) más allá de la simple respuesta a preguntas y les permiten llevar a cabo acciones, conectarse con otras herramientas y datos, y funcionar con cierto grado de autonomía. Ambos mecanismos entrañan riesgos y pueden producirse tanto si los ha aprobado como si no.

Modelos locales

El atractivo de las modelos locales se resume en una sola palabra: privacidad.

Cuando utiliza un servicio de inteligencia artificial basado en la nube, como ChatGPT, Gemini o Microsoft Copilot, sus solicitudes y los datos que comparte se transmiten a servidores propiedad de un tercero. Esos datos pueden utilizarse para entrenar modelos futuros, almacenarse de formas que no se pueden auditar o, en algunos casos, quedar expuestos de forma involuntaria, como ocurrió cuando ChatGPT introdujo una función de «compartir» en la versión 2023 con una casilla de selección para que los motores de búsqueda pudieran indexar las conversaciones. Miles de usuarios activaron la función sin darse cuenta de lo que estaban haciendo, y las conversaciones «privadas» de acabaron apareciendo en los resultados de búsqueda de Google.

Ejecutar un modelo de forma local significa que sus datos nunca salen de su equipo ni de su red interna, lo que parece ser precisamente la solución ideal para organizaciones que manejan documentos confidenciales, operan en sectores regulados o trabajan en entornos en los que no es posible el acceso externo a Internet.

Suena estupendo, ¿verdad? No tan rápido. El hecho de que la instalación sea local no implica automáticamente que sea privada. En « July 2025», Trend Micro descubrió más de 10,000 servidores que ejecutaban Ollama, una popular herramienta de código abierto para ejecutar modelos de IA de forma local, y que estaban expuestos públicamente sin necesidad de autenticación.

Cualquier persona que pueda acceder a un servidor de modelos local mal configurado puede realizar consultas en él, lo que significa que un atacante puede sondearlo en busca de información, extraer datos o utilizarlo como punto de acceso a la red en general, sin necesidad de tener acceso físico al equipo en el que se ejecuta.

Los modelos locales suelen ser más pequeños y estar entrenados con menos datos que sus homólogos en la nube, lo que significa que presentan más lagunas en sus conocimientos y son más propensos a subsanarlas con información que parece plausible, pero que es incorrecta, lo que en el sector se denomina «alucinación».

En el ámbito personal, dar una respuesta errónea con total seguridad supone un inconveniente. Sin embargo, cuando los resultados generados por la IA a nivel local se incorporan a los documentos presentados ante las autoridades reguladoras, a los análisis financieros, a los documentos jurídicos o a las comunicaciones con los clientes, lo que está en juego cambia por completo. Un directivo que no sepa que un resumen ha sido generado por inteligencia artificial no tiene motivos para verificarlo y, para cuando el error salga a la luz, es posible que el documento ya se haya firmado, enviado o presentado.

Los modelos locales tienen casos de uso legítimos y valiosos, pero «local» no es sinónimo de «seguro». Saber qué está instalado, dónde se ejecuta y si está configurado de forma segura son los requisitos mínimos para utilizarlos de forma responsable a escala empresarial.

Agentes

Los agentes de IA van más allá de responder preguntas. Mientras que un modelo de lenguaje de gran tamaño como ChatGPT responde a las indicaciones, un agente puede llevar a cabo acciones: escribir y ejecutar código, actualizar registros en su CRM, gestionar su agenda o enviar comunicaciones en su nombre. Esa capacidad es lo que las hace poderosas y, al mismo tiempo, lo que las convierte en un riesgo.

El riesgo radica en la forma en que los agentes obtienen sus permisos. Un agente hereda los derechos de acceso del usuario que lo instala. Si ese usuario es un desarrollador con derechos de administrador local, credenciales de base de datos y claves de API, el agente también dispone de todo ello.

Esto equivale, en el ámbito de la inteligencia artificial, a un ataque de tipo «vivir de lo que ofrece el entorno»: no se necesita ningún malware, sino que simplemente se aprovecha un acceso legítimo de formas que nadie había previsto. En la actualidad no existen normas a nivel de toda la empresa que establezcan cuándo un agente debe hacer una pausa y solicitar la aprobación de un operador humano antes de actuar, y la mayoría de las herramientas requieren que los permisos se configuren de forma individual para cada usuario, lo que hace que, en la actualidad, la gestión a nivel de todo el parque de herramientas resulte prácticamente imposible.

Esa brecha ya se está aprovechando a nivel de modelos. Un artículo de investigación 2025 de Lupinacci et al. reveló que el 100 % de los modelos de IA analizados aplicaban normas de seguridad menos estrictas cuando recibían instrucciones de otros agentes de IA que cuando las recibían de un ser humano.

Un agente comprometido en un flujo de trabajo con múltiples agentes puede transmitir instrucciones maliciosas a otros agentes, instrucciones que serían bloqueadas si las enviara una persona. Los investigadores la denominan una vulnerabilidad de «escalada de privilegios de los agentes de IA» integrada en las arquitecturas actuales de los modelos de lenguaje a gran escala (LLM).

Protocolo de contexto de modelo (MCP)

Anthropic ha creado un estándar abierto denominado «Model Context Protocol» (MCP) con el fin de proporcionar a las herramientas de IA una forma de conectarse con otras herramientas, fuentes de datos y sistemas. Piense en ello como si fuera un cable USB-C: en lugar de que cada dispositivo necesite su propio conector específico, el MCP ofrece a la IA una única forma estandarizada de interactuar con su buzón de correo, su sistema de archivos, su navegador, su base de datos y cualquier otro elemento que ofrezca una interfaz compatible.

Esa estandarización es también lo que convierte a MCP en un riesgo empresarial significativo. Los servidores MCP pueden instalarse directamente en herramientas de desarrollo como VSCode o Cursor sin que los equipos de TI o de seguridad se den cuenta, o casi. Heredan los permisos de quienquiera que los instale y, dado que muchos desarrolladores son administradores locales que ya disponen de credenciales, claves de API y tokens en sus equipos, un servidor MCP comprometido no necesita hacer gran cosa para obtener un amplio acceso. Se trata del «MCP sombra», un subcomponente de la IA sombra que cuenta con un radio de explosión desmesurado.

La superficie de ataque presenta múltiples facetas y constituye un tema que merece un análisis más detallado en relación con diversas técnicas; no obstante, entre los ejemplos se incluyen:

  • «Envenenamiento de herramientas» (): los atacantes incrustan instrucciones maliciosas en las descripciones de las herramientas utilizando caracteres invisibles para los humanos, pero legibles para la IA, lo que hace que esta realice acciones que el usuario nunca tuvo la intención de llevar a cabo.
  • «Rug pulls», en los que una herramienta MCP legítima se actualiza de forma silenciosa tras su instalación para redirigir el tráfico o registrar datos confidenciales en un servidor de terceros, sin que el usuario perciba ningún cambio visible.
  • El «shadowing» entre servidores,, consiste en que un servidor malicioso se infiltra en uno legítimo. En 2025, los atacantes se infiltraron en el servidor oficial MCP de WhatsApp y lo utilizaron para extraer de forma silenciosa historiales completos de chat.
  • Se produjo una vulnerabilid en la cadena de suministro, en la que un servidor malicioso formaba parte del producto desde el primer día, se publicó en un registro no verificado y fue instalado por un usuario que no tenía motivos para sospechar de él. Al no existir un proceso de verificación estándar para los servidores MCP, este es uno de los vectores de ataque más probables para la mayoría de las organizaciones.
  • Secuestro de sesión, ilustrado por CVE-2025-6514, una vulnerabilidad crítica de OAuth en un componente MCP de uso generalizado que permitía a los atacantes obtener acceso persistente a unos 437,000 entornos de desarrollo.

En la actualidad hay más de 15,000 servidores MCP en funcionamiento. Con ese volumen de nuevos desarrollos y sin que existan normas de seguridad consolidadas, el número de CVE está aumentando rápidamente. Este ecosistema se encuentra en una fase inicial, carece en gran medida de regulación y está siendo objeto de un análisis activo.

Análisis de Tanium y riesgos en el mundo real

En el caso « September 2025», un actor malicioso respaldado por el Estado chino utilizó Claude Code, el agente de programación basado en IA de Anthropic, para llevar a cabo de forma autónoma operaciones de reconocimiento, aprovechar vulnerabilidades y sustraer datos de aproximadamente 30 organizaciones.

Se calcula que la IA llevó a cabo entre el 80 % y el 90 % de las operaciones tácticas de forma autónoma. Ese mismo mes, unos investigadores demostraron un ataque «zero-click» contra la función «Deep Research» de ChatGPT: un único correo electrónico manipulado que contenía una inyección oculta de comandos logró extraer datos de Gmail de forma silenciosa con una tasa de éxito del 100 %, sin que la víctima tuviera que realizar ninguna acción.

En lo que respecta a la cadena de suministro, una campaña denominada «GlassWorm» distribuyó extensiones maliciosas a través del mercado OpenVSX, con más de 10,000 descargas. Las extensiones utilizaban caracteres Unicode invisibles para ocultar su código y canalizaban los datos sustraídos a través de una infraestructura de comando y control de la cadena de bloques de Solana, dos técnicas diseñadas específicamente para eludir la detección.

En cada incidente, las organizaciones carecían de información sobre las circunstancias que hicieron posible el ataque.

El estudio de Tanium Guardian ofrece una perspectiva sobre el alcance real de la IA «en la sombra» en las empresas. Analizamos dos aspectos: los elementos locales del modelo de IA en los terminales (por ejemplo, archivos de modelo y rutas del marco de trabajo) y las configuraciones del servidor MCP (qué herramientas de MCP están presentes y dónde se encuentran).

Lo que observamos es una realidad clara: la IA en la sombra ya está presente en una parte significativa de los entornos, y tanto los artefactos de modelos locales como la adopción de MCP se concentran de formas que revisten importancia para la visibilidad y las políticas.

Lo que observa Tanium

El estudio de Tanium Guardian pone de manifiesto una tendencia ya conocida: un fuerte aumento en la adopción de la inteligencia artificial en las empresas, ya que uno de cada tres entornos cuenta ya con al menos un terminal que contiene archivos indexados de modelos de inteligencia artificial y casi la mitad cuenta con al menos un terminal en el que se ha configurado un servidor MCP.

La presencia de la inteligencia artificial en los dispositivos finales ya no es una cuestión pendiente. Está ahí y va en aumento. La cuestión que queda por resolver es si dicha presencia está autorizada, regulada y se comprende.

En la práctica, lo que observamos suele dividirse en dos patrones: algunas organizaciones parecen estar implantando la IA de forma coordinada; en otras, la adopción se asemeja más a un goteo lento, el tipo de patrón que podría indicar la existencia de una «IA en la sombra», en la que las herramientas y las integraciones van apareciendo sin que haya una dirección clara y centralizada que marque el rumbo.

En lo que respecta al modelo local, los artefactos hablan por sí mismos. Los archivos GGUF (tipo Llama y similares) hacen referencia a modelos de lenguaje grande (LLM) locales y a herramientas de incrustación como Ollama. Los Safetensors aparecen allí donde intervienen Hugging Face y PyTorch, como es habitual en el resumen de conversaciones, los modelos ajustados y demás. PMML es compatible con las plataformas de aprendizaje automático más antiguas y tradicionales, como SAS, R, sklearn y otras herramientas de análisis. Así pues, no se trata simplemente de que «alguien haya ejecutado Ollama», sino de una combinación de modelos de lenguaje grandes (LLM) locales, aprendizaje profundo moderno y aprendizaje automático clásico.

Por parte de MCP, la situación es igual de ajetreada. Aparecen de forma sistemática casi 400 servidores MCP distintos con nombre propio en millones de terminales, así como un puñado de servidores puntuales o especializados que podrían merecer una investigación más exhaustiva. Los nombres que ocupan los primeros puestos constituyen un auténtico «quién es quién» del mundo empresarial y guardan relación con algunas de las herramientas empresariales más populares del mercado.

Es poco probable que esas herramientas sean «IA en la sombra», pero son las herramientas que los equipos están integrando en sus flujos de trabajo asistidos por IA. La cuestión, en lo que respecta a la seguridad y la gobernanza, es si ese cableado es visible y se supervisa adecuadamente. Los atacantes buscarán oportunidades para hacerse pasar por herramientas legítimas de los proveedores y pasar desapercibidos entre ellas, por lo que deben mantenerse alerta.

El verdadero riesgo no siempre radica en que «dispongamos de nuevas herramientas de IA en nuestra organización». Es que «no hemos analizado ni validado las herramientas de IA de nuestra organización». Es precisamente en esa brecha entre ambos donde debe aplicarse la gobernanza, y con celeridad.

Cómo ayuda Tanium

Sin conocer qué herramientas de IA se están ejecutando, dónde se ejecutan y cómo están configuradas, las organizaciones no pueden tomar decisiones fundamentadas en materia de gobernanza o de riesgos.

Tanium Guardian Spotlight: AI Tools ofrece a los equipos de seguridad una visión centralizada, a nivel de terminal, de la IA oculta en todo el entorno.

El panel de control detecta y registra:

  • Servidores MCP configurados: Número y tipo (HTTP, SSE, STDIO) de los servidores MCP en los entornos de desarrollo (IDE), así como qué entornos de desarrollo los incluyen
  • Gestores de modelos locales: . Aplicaciones como Ollama, LM Studio y GPT4All; uso durante los últimos 90 días; e instalaciones basadas en AppImage y contenedores (con Index/SBOM).
  • Archivos de modelos de IA: Archivos de modelos distintos detectados a través de Tanium Index (por ejemplo, GGUF, SafeTensors), con la ruta de acceso y el contexto de nomenclatura
  • OpenClaw: Puntos de acceso en los que se ejecuta OpenClaw, para evaluar la exposición a sus riesgos conocidos

Los equipos pueden utilizar el resumen ejecutivo para definir el alcance, la sección MCP para garantizar que los servidores cumplan con la política y las tendencias de uso para distinguir entre las herramientas instaladas y las que se utilizan de forma activa. La funcionalidad completa incluye Tanium Index, SBOM, inventario y uso de software de activos, y respuesta ante amenazas.

Para obtener más información, consulte el artículo «Guardian Spotlight: Notas de la versión de las herramientas de IA» de y la charla técnica de sobre la visibilidad y los riesgos de las herramientas de IA.

Referencias

Informes de Shadow AI

Seguridad de MCP

Información sobre amenazas

Detección local de LLM

Cadena de suministro

Varios: IA arriesgada y maliciosa

Riesgos y seguridad relacionados con la inteligencia artificial