El 75% de las investigaciones de seguridad pasa por identidad o privilegios
Tres de cada cuatro investigaciones completadas por Phantom Labs, el laboratorio de investigación ofensiva de BeyondTrust, tuvieron relación con identidades o privilegios. El dato surge del más reciente índice de Investigación de Phantom Labs, construido sobre más de 400 proyectos de investigación realizados durante el último año, y marca un cambio de terreno: los atacantes ya no necesitan descubrir una vulnerabilidad nueva, les alcanza con encontrar una relación de confianza mal gobernada.
Para un founder con un equipo de tecnología pequeño, la lectura es incómoda y a la vez accionable: el riesgo se mudó a un lugar donde casi nadie está mirando, porque no aparece en los tableros tradicionales de vulnerabilidades de software.
¿Qué encontró Phantom Labs en 400 investigaciones?
Según el comunicado de BeyondTrust difundido por GlobeNewswire, el índice se publicó el 3 de agosto de 2026 y se apoya en el trabajo ofensivo del equipo durante el año anterior. La conclusión central es que la identidad y los privilegios están en el centro de la superficie de ataque moderna, y que los problemas rara vez provienen de una falla aislada de software: vienen de cómo los usuarios, las aplicaciones, las identidades de máquina y los agentes de IA se conectan y heredan accesos entre entornos cloud, SaaS y on-premise.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasEl mismo comunicado señala que los hallazgos derivaron en divulgaciones coordinadas de vulnerabilidades, incluidas algunas en OpenAI Codex y AWS Bedrock AgentCore.
¿Cuáles son las causas raíz más frecuentes?
BeyondTrust clasificó los hallazgos por causa raíz. Cinco problemas explican más de la mitad de todo lo que encontró el equipo:
- Exposición de credenciales y secretos: 18%
- Exposición de relaciones y conexiones de identidad: 11%
- Privilegios excesivos o permanentes: 11%
- Configuraciones incorrectas de identidad: 10%
- Movimiento lateral, es decir, la capacidad de un atacante de desplazarse desde un sistema o cuenta comprometida hacia otros recursos: 6%
Ninguna de estas causas suele aparecer sola. Los privilegios permanentes y la escalada de privilegios fueron la combinación que más veces se repitió, y la exposición de credenciales fue el problema que más se combinó con otros.
«A medida que las organizaciones conectan identidades humanas, de máquinas y de agentes de IA en entornos cada vez más distribuidos, los atacantes ya no necesitan encontrar una nueva vulnerabilidad: buscan las relaciones de identidad que puedan conducir a accesos privilegiados», dijo Ramón Salas, gerente de Ventas de México y el Caribe de BeyondTrust.
¿Por qué los agentes de IA cambiaron el mapa de identidades?
El primer año de Phantom Labs tuvo un foco nítido: la seguridad de IA y de modelos de lenguaje fue su mayor área de investigación, con la mitad de todos los proyectos. Dentro de ese bloque, el 58% tocó plataformas de IA en la nube, el 42% agentes y sistemas agénticos, el 12% seguridad de modelos y datos, el 9% técnicas de prompt injection y jailbreak, y el 6% escalada de privilegios específica de IA, según GlobeNewswire.
El problema de fondo es que un agente de IA no se parece a un empleado. Un empleado tiene un rol relativamente estable y se le revoca el acceso el día que se va. Un agente se despliega en minutos, muchas veces sobre plataformas low-code, y hereda permisos que nadie revisó. Marc Maiffret, CTO de BeyondTrust, advirtió que los agentes de IA pueden implementarse en minutos con privilegios que rivalizan con los de un administrador humano, según declaraciones recogidas por Help Net Security.
La compañía ya venía construyendo en esa dirección: en agosto de 2025 lanzó Secrets Insights, una capacidad para descubrir y remediar riesgos ligados a secretos e identidades no humanas, de acuerdo con Help Net Security. En paralelo, anunció integraciones entre su plataforma Pathfinder y CrowdStrike Falcon Next-Gen SIEM para correlacionar exposición de privilegios con telemetría de amenazas, según iTWire.
¿Cuánta visibilidad real hay sobre las identidades no humanas?
El informe SpyCloud Identity Threat Report 2026, basado en una encuesta a 750 responsables y profesionales de ciberseguridad en organizaciones de más de 500 empleados de Norteamérica, Reino Unido y mercados europeos como España, Alemania, Países Bajos, Austria y Suiza, expone la brecha: el 95% de las organizaciones cree tener visibilidad sobre sus exposiciones de IA e identidades de máquina, pero solo el 36% las monitorea realmente, según CSO Online. Las identidades no humanas —cuentas de servicio, claves de API, tokens y agentes de IA— son la categoría menos vigilada del informe.
Los números que la rodean son igual de duros, siempre según CSO Online: una identidad no humana comprometida fue el punto de entrada principal en el 31% de los casos, casi el doble que el phishing y la ingeniería social (17%). El 68% de las organizaciones sufrió al menos un evento relacionado con identidades, con un promedio de ocho por organización. Y el 91% usa herramientas o agentes de IA con acceso a sistemas, aplicaciones o datos internos, pero solo el 56% tiene gobernanza y responsabilidad formal sobre los privilegios resultantes.
SpyCloud documenta además que los datos de sesión —cookies y tokens— desplazaron a las contraseñas como blanco principal de los atacantes, porque permiten reanudar una sesión ya autenticada y saltarse controles como el doble factor.
¿Dónde está poniendo el dinero el mercado?
El capital ya se movió. En su segundo trimestre fiscal de 2027, Okta reportó ingresos por 805 millones de dólares, un 11% más interanual, con ingresos de suscripción creciendo 12% y un RPO (ingresos contratados pendientes) de 4.860 millones de dólares, 17% más, según el análisis publicado por Yahoo Finance. La compañía anunció capacidades para agentes de IA —incluido Agent SSO— y cerró julio de 2026 con 5.255 clientes de más de 100.000 dólares de valor contractual anual. Su guía de ingresos para el año fiscal 2027 apunta a entre 3.216 y 3.226 millones de dólares.
Del otro lado, TechCrunch reportó que Cymphony, una startup de dos años, levantó 30 millones de dólares —una Serie A de 25 millones co-liderada por Sequoia y SMBC Fin Atlas Beyond Fund— con una valoración superior a los 100 millones. En una empresa pública de Estados Unidos encontró cerca de 85.000 archivos que habían quedado accesibles para herramientas y agentes de IA. Sus competidores directos, según ese medio, incluyen a Microsoft, Okta, CyberArk, Wiz y Varonis.
Que una firma como Sequoia duplique su apuesta en un mercado ya poblado es una señal: la seguridad de agentes dejó de ser una función accesoria de las plataformas grandes y empieza a comportarse como una categoría propia.
¿Qué significa esto para tu startup?
Traducción para un equipo chico, sin presupuesto de banco.
1. Haz inventario de tus identidades no humanas. Cuentas de servicio, claves de API, tokens, webhooks y agentes de IA. Si no figuran en una lista, nadie las dará de baja nunca: no rotan sus propias credenciales y no fallan un desafío de segundo factor.
2. Elimina el privilegio permanente. Los privilegios excesivos o permanentes fueron el 11% de las causas raíz. Migra hacia accesos just-in-time y privilegio cero permanente (Zero Standing Privilege, ZSP): el permiso se pide, se usa y se devuelve.
3. Trata las sesiones como un activo crítico. Si los tokens y las cookies de sesión ya son el blanco principal, revisa cuánto duran tus sesiones, cómo las revocas de forma remota y qué ocurre cuando alguien deja la empresa.
4. Automatiza la remediación. Los datos de SpyCloud son elocuentes: quien depende de remediación manual reporta costos de respuesta a incidentes más altos (39% frente a 32%) y mayor pérdida de confianza de clientes y socios (47% frente a 36%).
5. Ponle dueño a cada agente de IA. Antes de conectarlo a tus sistemas, define quién responde por él, a qué datos puede llegar y con qué frecuencia se revisa. La gobernanza no puede ir detrás del despliegue.
Conclusión
El mensaje del índice es incómodo para quien espera resolver la seguridad parchando software: proteger una organización ya no depende solo de reaccionar ante una vulnerabilidad, sino de entender las relaciones de identidad y privilegio que existen dentro de los entornos digitales y dónde esas relaciones generan exposición real. Conforme los agentes de IA ganen un papel más activo dentro de las empresas, mantener visibilidad y control sobre esas relaciones pesará cada vez más en cualquier estrategia de ciberseguridad.
Para una startup hay una buena noticia escondida: buena parte de este riesgo se reduce con arquitectura y hábitos, no solo con presupuesto. Un inventario honesto de identidades, menos permisos permanentes y un dueño claro para cada agente de IA cubren una porción desproporcionada de la superficie que hoy están explotando los atacantes.
Fuentes
- Computer Weekly España: Sigue en aumento la exposición de identidades y privilegios (fuente original)
- BeyondTrust Research: 75% of Cyberattacks Trace Back to Identity and Privilege Exposure (GlobeNewswire / Yahoo Finance)
- SpyCloud 2026 Identity Threat Report (CSO Online)
- Sequoia doubles down on Cymphony as AI agents create new enterprise security risks (TechCrunch)
- BeyondTrust introduces identity security controls for AI (Help Net Security)
- BeyondTrust launches new integrations with CrowdStrike Falcon Next-Gen SIEM (iTWire)
- AI Pivot Can Give Okta’s Growth Engine a Second Gear (Yahoo Finance)
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
