)
Última actualización: 23 de octubre, 2026
¿Qué es la gestión de vulnerabilidades de IA (AI vulnerability management)? Es la práctica de encontrar, priorizar y corregir debilidades en los sistemas de IA, y de gestionar además las vulnerabilidades que la IA hace más rápidas de descubrir y explotar. Abarca tres frentes a la vez: los activos de IA que ejecutas, los atacantes que usan IA y los defensores que automatizan su respuesta.
TL;DR: puntos clave
- Según CrowdStrike (agosto de 2026), el 88 % de la explotación que observó contra vulnerabilidades con código de prueba de concepto público ocurrió en las 48 horas siguientes a su publicación.
- Forescout (julio de 2026) contabilizó un aumento interanual del 51 % en las vulnerabilidades publicadas en el primer semestre de 2026 y más de 940.000 servicios de IA expuestos.
- HackerOne (mayo de 2026) informa de un aumento de más del 100 % en el volumen de informes desde febrero de 2026, con duplicados e informes imposibles de verificar.
- El Top 10 de OWASP para aplicaciones LLM 2026 sube la agencia excesiva al tercer puesto (LLM03) y el consumo ilimitado cuatro puestos, hasta el sexto (LLM06).
- El Top 10 de OWASP para aplicaciones agénticas (diciembre de 2025) recoge diez riesgos, de ASI01 a ASI10, entre ellos la cadena de suministro agéntica (ASI04).
- Un documento de trabajo de septiembre de 2026 del AI Security Forum y la Global Digital Foundation afirma que aún no hay un marco formal acordado.
| Papel de la IA | Qué cambia para ti | Primer control |
|---|---|---|
| IA como activo | Nuevas debilidades en prompts, herramientas, modelos, datos y agentes | Inventario y pruebas |
| IA como atacante | Menos tiempo entre la divulgación y la explotación | Priorización por explotabilidad |
| IA como defensor | Más hallazgos e informes que triar | Validación humana y automatización |
¿Por qué la gestión de vulnerabilidades de IA es distinta de parchear software?
Porque muchas debilidades de la IA no son defectos de código con un parche. Una prompt injection, un agente con demasiados permisos o un documento envenenado viven en el comportamiento, los datos y la configuración. La solución suele ser un control en ejecución, y la debilidad puede reaparecer tras actualizar el modelo.
Los programas tradicionales siguen CVE sobre componentes conocidos, y las cifras crecen. Según Forescout (2026), se publicaron unos 37.000 CVE en el primer semestre de 2026, unos 205 al día, y la empresa considera probable que ese aumento esté ligado al descubrimiento asistido por IA.
| Software tradicional | Sistemas de IA | |
|---|---|---|
| Unidad de debilidad | Un fallo en un componente con versión | Un comportamiento, un permiso, una fuente de datos o un componente |
| Corrección habitual | Parche o actualización | Guardrail, cambio de permisos, modelo reentrenado o sustituido, parche |
| Detección | Escáneres y avisos | Pruebas adversarias, monitorización en ejecución y escáneres |
| Riesgo de regresión | Bajo tras un parche | Alto tras un cambio de modelo, prompt o herramienta |
| Identificador | CVE y CVSS | A menudo ninguno, así que se mapea a categorías de OWASP |
Tampoco existe todavía un manual consolidado. Según el documento de trabajo del AI Security Forum y la Global Digital Foundation (septiembre de 2026), el foro no acordó un marco formal. Se prevé una versión más completa para 2027. El texto plantea el trabajo como prevención de la exposición mediante gobernanza más reducción de la exposición mediante respuesta automatizada.
¿Cómo usan la IA atacantes y defensores?
Los atacantes usan la IA para acortar el camino entre un fallo divulgado y un exploit funcional, y los defensores la usan para triar, probar y planificar correcciones más rápido. Ambos ganan velocidad, así que la ventaja es del equipo que verifica los hallazgos y actúa antes.
Del lado del atacante, el titular es la velocidad. El 2026 Threat Hunting Report de CrowdStrike, publicado el 3 de agosto de 2026, halló que el 88 % de la explotación observada de vulnerabilidades con código de prueba de concepto se produjo en las 48 horas siguientes a su publicación. Dos grupos vinculados a China que sigue, VAULT PANDA y GENESIS PANDA, actuaron en las 24 horas posteriores a la divulgación.
Del lado del defensor, el problema es el volumen. HackerOne afirma que el volumen de informes subió más de un 100 % tras la llegada de modelos y herramientas de IA más avanzados en febrero de 2026. Añade que muchos informes asistidos por IA eran duplicados o no se podían verificar. HackerOne respondió con enrutamiento por habilidad y gravedad y con agentes para deduplicar y escalar, manteniendo a analistas humanos en el circuito.
| Presión | Evidencia | Qué implica para tu programa |
|---|---|---|
| Velocidad de explotación | 88 % de la explotación con PoC en 48 horas (CrowdStrike, 2026) | Decide la contención antes de que exista el parche |
| Volumen de divulgación | CVE un 51 % más que hace un año (Forescout, 2026) | Prioriza por explotabilidad, no por cantidad |
| Ruido en los informes | Más de un 100 % más de informes (HackerOne, 2026) | Valida antes de escalar |
| Servicios de IA expuestos | Más de 940.000 (Forescout, 2026) | Encuentra primero tus propios endpoints expuestos |
Cómo hemos evaluado la evidencia
Hemos usado publicaciones primarias de los fabricantes y organismos citados, cada una con fecha y enlace, y ninguna cifra que no pudiéramos rastrear hasta su origen.
)
¿Cómo descubres e inventarías tus activos de IA?
Empieza por lo que aún no ves: cada modelo, prompt, herramienta, servidor MCP, agente, base vectorial y función de SaaS con IA en uso. Una vulnerabilidad que no puedes asociar a un activo no se puede ordenar, asignar ni cerrar, así que el inventario es el primer entregable.
El documento del AI Security Forum pide a los operadores inventarios precisos. La cifra de Forescout, más de 940.000 servicios de IA expuestos, que según la empresa se ha más que duplicado desde febrero, muestra con qué facilidad los endpoints de IA acaban en internet por accidente.
Para cada activo anota un responsable, los datos a los que llega, las herramientas que puede invocar y los permisos que tiene. La guía de OWASP 2026 sobre cadena de suministro (LLM04) va más allá. Apunta a listas de materiales de software y de IA firmadas, además de una política de parcheo que mantenga componentes, APIs y modelos en versiones con soporte.
| Activo | Qué registrar | Debilidad típica |
|---|---|---|
| Modelo y versión | Proveedor, versión, ajustes finos, adaptadores | Artefactos manipulados o sustituidos (LLM04) |
| Prompt de sistema y política | Ubicación, responsable, historial de cambios | Exposición de contexto oculto (LLM08) |
| Herramientas y servidores MCP | Alcances, credenciales, responsable | Uso indebido de herramientas (ASI02), agencia excesiva (LLM03) |
| Fuentes de datos y bases vectoriales | Clasificación, reglas de acceso | Envenenamiento (LLM05), debilidades de embeddings (LLM09) |
| Agentes | Nivel de autonomía, identidad, memoria | Secuestro de objetivos (ASI01), comportamiento rebelde (ASI10) |
¿Cómo mapeas las vulnerabilidades de IA a las listas OWASP 2026?
Asocia cada hallazgo a una categoría de OWASP y después a una acción. La lista LLM 2026 te da un vocabulario común para el riesgo a nivel de modelo, y la lista agéntica cubre lo que ocurre cuando los modelos actúan. Usa ambas, porque la mayoría de incidentes reales cruzan las dos.
El Top 10 de OWASP para aplicaciones LLM 2026 mantiene la prompt injection en primer lugar y la divulgación de información sensible en segundo. La agencia excesiva sube al tercero, el consumo ilimitado gana cuatro puestos hasta el sexto y el manejo inadecuado de la salida cae del quinto al décimo. La filtración del prompt de sistema se sustituye por la categoría más amplia de exposición de contexto oculto (LLM08).
| Entrada 2026 | Movimiento respecto a 2025 | Acción de gestión de vulnerabilidades |
|---|---|---|
| LLM01 Prompt Injection | Sigue primera | Prueba cada vía de entrada, incluido el contenido recuperado y la salida de herramientas |
| LLM02 Sensitive Information Disclosure | Sigue segunda | Clasifica los datos a los que llega cada activo de IA y analiza las salidas |
| LLM03 Excessive Agency | Sube al tercer puesto | Elimina herramientas y permisos sin uso y exige aprobación en acciones de alto impacto |
| LLM04 Supply Chain | Baja un puesto | Mantén una lista de materiales de IA y una política de parcheo de modelos y dependencias |
| LLM06 Unbounded Consumption | Sube cuatro puestos | Fija límites de tokens, de tasa y de coste, y mantén actualizados los frameworks de servicio |
| LLM08 Hidden Context Exposure | Sustituye a la filtración del prompt de sistema | Da por expuestos los prompts y los esquemas de herramientas y no guardes secretos en ellos |
| LLM10 Improper Output Handling | Baja al décimo puesto | Valida la salida del modelo antes de que actúen los sistemas posteriores |
El Top 10 agéntico de diciembre de 2025 añade riesgos que una visión solo de modelo no ve. Entre ellos están el secuestro de objetivos del agente (ASI01), el uso indebido de herramientas (ASI02), el abuso de identidad y privilegios (ASI03), la cadena de suministro agéntica (ASI04), el envenenamiento de memoria y contexto (ASI06) y los agentes rebeldes (ASI10). Si ejecutas agentes con memoria, nuestra guía sobre envenenamiento de memoria y contexto muestra cómo una sola instrucción plantada persiste entre sesiones.
¿Cómo pruebas los sistemas de IA en busca de vulnerabilidades?
Combina el escaneo convencional con pruebas adversarias. Los escáneres encuentran fallos conocidos en los componentes, y las pruebas adversarias intentan que el sistema se comporte mal a través de prompts, herramientas y datos. Ejecuta ambos antes de cada lanzamiento y tras cada cambio de modelo, prompt o herramienta.
Las pruebas adversarias necesitan cobertura de varios tipos de ataque, no un único jailbreak ingenioso. Incluye prompt injection directa e indirecta, manipulación multiturno, extracción de datos, abuso de herramientas y salidas mal formadas. AI Red Teaming (TrustTest), de NeuralTrust, automatiza pruebas de estos tipos de ataque. Las ejecuta en CI/CD para que un ataque exitoso pueda bloquear un merge, y compara los resultados entre ejecuciones para comprobar si una corrección se mantiene.
Renueva los ataques a medida que aparecen técnicas nuevas, porque un conjunto estático demuestra poco. La IA también puede generar muchas hipótesis de vulnerabilidad plausibles pero falsas, como señala el documento de trabajo, así que cada hallazgo automático necesita una reproducción antes de entrar en la cola.
¿Cómo debe priorizar el riesgo la gestión de vulnerabilidades de IA?
Ordena según si una debilidad se puede explotar en tu despliegue, cuán expuesta está y cuánto daño puede causar el sistema afectado. Una puntuación crítica en un modelo de pruebas aislado importa menos que un problema medio en un agente con acceso de escritura a producción.
El documento de trabajo defiende evaluar caminos de ataque reales en lugar de contar entradas. El catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA recoge fallos vistos en explotación real, y Forescout informa de que las incorporaciones a KEV subieron un 11 % interanual en el primer semestre de 2026. CVSS v4.0 permite ajustar una puntuación base con métricas de amenaza y de entorno.
Para los sistemas de IA, añade un factor que CVSS no recoge bien: la agencia. La misma prompt injection es una molestia en un chatbot sin herramientas y un incidente en un agente que puede enviar correos o modificar registros.
| Factor | Pregunta | Sube la prioridad cuando |
|---|---|---|
| Evidencia de explotación | ¿Está en KEV, tiene PoC público o se explota activamente? | Sí a cualquiera |
| Exposición | ¿Se llega al endpoint desde internet o mediante contenido no confiable? | Sí |
| Agencia | ¿Qué puede hacer el sistema si lo manipulan? | Escribe, gasta o envía |
| Datos | ¿Cuál es el dato más sensible al que llega? | Datos regulados o confidenciales |
| Control compensatorio | ¿Hay ya un guardrail en ejecución o un paso de aprobación? | No |
Como punto de partida, contén en 48 horas todo lo que tenga evidencia de explotación y mucha agencia, en línea con el hallazgo de CrowdStrike, y planifica el resto según el riesgo.
¿Cómo contienes, corriges y divulgas las vulnerabilidades de IA?
Primero contén, después corrige y por último divulga. A menudo no puedes parchear un modelo en un día, pero sí reducir permisos, añadir un guardrail en ejecución o desactivar una herramienta en cuestión de horas. Luego corrige la causa raíz e informa a los afectados mediante un proceso definido.
Para contener, piensa en capas. Retira la herramienta, estrecha el alcance, añade un paso de aprobación o coloca un control que inspeccione entre el modelo y todo lo que toca. El documento de trabajo describe guardrails independientes y capas tipo firewall que inspeccionan prompts, respuestas y acciones de agentes, y reclama una defensa en capas y en tiempo real. Nuestra guía sobre supervisión humana (human-in-the-loop) explica cuándo compensa la fricción de la aprobación.
Para las correcciones, espera una mezcla de parches, cambios de configuración y cambios de modelo, y vuelve a probar tras cada uno. Para la divulgación, reutiliza lo que ya existe. El documento remite a ISO/IEC 29147 y 30111 para la divulgación y la gestión de vulnerabilidades, y a CSAF para avisos legibles por máquina. También cita ETSI EN 304 223 (V2.1.1, diciembre de 2025) como base de requisitos de seguridad para la IA.
Mantén la responsabilidad en personas. El documento sostiene que los humanos deben seguir siendo responsables de la identificación de activos, la evaluación de riesgos, la aprobación de parches, la evidencia de cumplimiento y las decisiones de gobernanza, incluso cuando la IA orquesta el flujo de trabajo.
Seguridad y gobernanza: ¿cómo son las vulnerabilidades de IA en la práctica?
Son texto de confianza que cambia lo que hace un agente, herramientas con más acceso del que necesita su tarea y dependencias que nadie controlaba. Los controles son los de arriba, aplicados en ejecución, y cada uno se asocia a una entrada de OWASP sobre la que puedes informar.
| Riesgo | Cómo aparece | Control |
|---|---|---|
| Prompt injection (LLM01) | Instrucciones ocultas en un documento, una página o un resultado de herramienta | Inspeccionar entradas y resultados de herramientas antes de que el agente actúe |
| Agencia excesiva (LLM03, ASI02) | Un agente tiene herramientas y alcances más allá de su tarea | Mínimo privilegio y aprobación en acciones de alto impacto |
| Cadena de suministro (LLM04, ASI04) | Un modelo, adaptador o paquete de herramientas manipulado | Lista de materiales, versiones fijadas, política de parcheo |
| Envenenamiento de memoria (ASI06) | Una instrucción plantada persiste entre sesiones | Revisar las escrituras en memoria y caducar entradas antiguas |
| Exposición de contexto oculto (LLM08) | Una respuesta revela instrucciones de sistema o esquemas de herramientas | Inspección de salidas y prompts sin secretos |
NeuralTrust cubre tres de estos pasos en su plataforma Runtime Security Mesh. Agent Posture Management (TrustLens) construye el inventario, incluidos los agentes que nadie registró, sigue los cambios de configuración, puntúa el riesgo y lista pasos de corrección priorizados. Agent Runtime Security (TrustGuard) aplica políticas en línea sobre entradas y salidas, con decisiones de permitir, bloquear o transformar, y detecta prompt injection y resultados de herramientas envenenados, con hallazgos vinculados a trazas. TrustTest, descrito arriba, muestra qué ataques siguen funcionando tras una corrección. TrustGuard funciona como SaaS, en modo híbrido o on-premise.
La gobernanza necesita evidencias además de controles. Guarda el inventario, los resultados de las pruebas, las decisiones de contención y las aprobaciones en un único registro auditable.
¿Qué enfoque encaja con tu equipo?
Ajusta el programa a tu madurez. Empieza con un inventario y pruebas mapeadas a OWASP, añade controles en ejecución donde los agentes puedan actuar y suma divulgación y evidencias de auditoría si estás regulado. La tabla ofrece un primer paso y un siguiente paso para cada tipo de equipo.
| Equipo | Empieza con | Añade después |
|---|---|---|
| Adoptante temprano con pocas aplicaciones | Un inventario en hoja de cálculo y pruebas mapeadas a OWASP antes de cada lanzamiento | Guardrails en ejecución en la aplicación con más agencia |
| Equipo de plataforma con agentes | Inventario automático, pruebas adversarias en CI/CD y listas de herramientas permitidas | Triaje por explotabilidad y flujos de aprobación |
| Empresa regulada | Inventario con responsables, lista de materiales de IA y registro de auditoría | Proceso de divulgación alineado con ISO/IEC 29147 y 30111 |
Conclusión
La gestión de vulnerabilidades de IA funciona cuando tratas la IA como un activo que inventariar, un atacante al que adelantarte y un defensor al que supervisar. La explotación sigue a la divulgación en horas y aún no hay un marco formal acordado. Construye tu propio ciclo: descubre, prueba, prioriza por explotabilidad y agencia, contén primero, luego corrige y divulga, y asocia cada hallazgo a OWASP 2026.
Protege sistemas de IA en producción con NeuralTrust
Encuentra tus activos de IA, pruébalos y aplica políticas en ejecución. Empieza gratis con el AI Gateway y pon controles delante de tu primer agente hoy.
)
Lecturas relacionadas
- AI gateway para IA agéntica
- Envenenamiento de memoria y contexto
- Autenticación MCP
- Supervisión humana de agentes de IA
Preguntas frecuentes sobre gestión de vulnerabilidades de IA
1. ¿Qué es la gestión de vulnerabilidades de IA?
Es el proceso de encontrar, priorizar y corregir debilidades en los sistemas de IA, y de gestionar las vulnerabilidades que la IA ayuda a los atacantes a encontrar más rápido. Abarca modelos, prompts, herramientas, agentes y datos, junto con los componentes de software convencionales.
2. ¿En qué se diferencia de la gestión de vulnerabilidades tradicional?
Los programas tradicionales siguen CVE en componentes con versión y los corrigen con parches. Las debilidades de la IA suelen estar en el comportamiento, los permisos y los datos, a menudo no tienen CVE y pueden volver tras una actualización del modelo. La solución suele ser un control en ejecución o un cambio de permisos.
3. ¿Existe un marco estándar?
Todavía no. El documento de trabajo del AI Security Forum de septiembre de 2026 indica que su foro no acordó un marco formal y que se prevé trabajo más completo para 2027. Mientras tanto puedes combinar las listas OWASP LLM y agéntica, ETSI EN 304 223 y estándares de divulgación existentes como ISO/IEC 29147.
4. ¿Se puede parchear un modelo de IA?
A veces. Los componentes de código abierto y los frameworks de servicio se pueden parchear, y un proveedor puede publicar una versión más segura del modelo. Las debilidades de comportamiento, como la prompt injection, suelen requerir mitigaciones en capas: guardrails, permisos más estrechos y pasos de aprobación.
5. ¿Con qué rapidez explotan los atacantes las vulnerabilidades nuevas?
Muy rápido. El Threat Hunting Report 2026 de CrowdStrike halló que el 88 % de la explotación observada contra vulnerabilidades con código de prueba de concepto público se produjo en las 48 horas siguientes a su publicación. Algunos grupos actuaron en 24 horas desde la divulgación. Planifica contener la exposición de riesgo antes de que haya parche.
6. ¿Qué debe incluir un inventario de activos de IA?
Incluye modelos y versiones, prompts de sistema, herramientas y servidores MCP, fuentes de datos, agentes y funciones de SaaS con IA. De cada uno anota un responsable, los datos a los que llega, las herramientas que puede invocar y sus permisos.
7. ¿El descubrimiento con IA supone más trabajo para los equipos de seguridad?
Sí, al menos al principio. Forescout contabilizó un aumento del 51 % en las vulnerabilidades publicadas en el primer semestre de 2026, y HackerOne informa de más de un 100 % más de informes, muchos duplicados o no verificables. Los equipos lo gestionan priorizando por explotabilidad y exigiendo una reproducción antes de escalar.
8. ¿Cómo ayuda OWASP en la gestión de vulnerabilidades de IA?
OWASP te da categorías comunes a las que asociar los hallazgos. La lista LLM 2026 cubre riesgos a nivel de modelo como la prompt injection, la agencia excesiva y la cadena de suministro. La lista agéntica cubre los que aparecen cuando los agentes actúan, como el uso indebido de herramientas y el envenenamiento de memoria.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, destacada en cuatro informes Gartner Hype Cycle de 2026 y presente en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Sede en Barcelona con oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- CrowdStrike, 2026 Threat Hunting Report: AI is Now Embedded Across Modern Adversary Operations (3 de agosto de 2026)
- HackerOne, Navigating the AI Wave: How We're Keeping Security Research Meaningful (29 de mayo de 2026)
- Forescout Vedere Labs, 2026H1 Threat Review (21 de julio de 2026)
- OWASP GenAI Security Project, OWASP Top 10 for LLM Applications 2026 (agosto de 2026)
- OWASP GenAI Security Project, Top 10 for Agentic Applications (9 de diciembre de 2025)
- Global Digital Foundation y AI Security Forum, AI-era Vulnerability Management, documento de trabajo (septiembre de 2026)
- ETSI, EN 304 223 V2.1.1, Securing Artificial Intelligence: Baseline Cyber Security Requirements for AI Models and Systems (diciembre de 2025)
- CISA, Known Exploited Vulnerabilities Catalog (actualización continua)
- FIRST, Common Vulnerability Scoring System v4.0 (versión 4.0)