La inteligencia artificial ya no está cambiando únicamente cómo se desarrollan aplicaciones o se automatizan tareas. También está modificando la forma en la que se buscan fallos de seguridad en el software. Gartner sitúa el descubrimiento de vulnerabilidades mediante IA como el principal riesgo emergente para las organizaciones en el segundo trimestre de 2026, por delante de la IA agéntica, los problemas de integridad de la información o la preparación de las plantillas.
Las claves de la IA y las vulnerabilidades en 20 segundos
- Gartner coloca por primera vez el descubrimiento de vulnerabilidades mediante IA en el primer puesto de sus riesgos emergentes.
- El estudio recoge respuestas de 316 directivos y responsables de riesgos.
- La IA agéntica asciende hasta la tercera posición.
- El riesgo aparece cuando la detección de fallos avanza más rápido que su validación y parcheo.
- Para los departamentos de TI, esto puede acelerar el paso hacia una gestión de vulnerabilidades más continua y automatizada.
El informe resulta especialmente relevante para responsables de sistemas, seguridad y desarrollo porque apunta a un cambio de escala. Las herramientas de IA pueden analizar grandes cantidades de código, buscar patrones vulnerables y automatizar parte del trabajo que tradicionalmente requería muchas horas de especialistas.
Eso también beneficia a los equipos defensivos. El problema aparece cuando la velocidad para encontrar errores crece más deprisa que la capacidad de las organizaciones para comprobarlos, priorizarlos y desplegar las correcciones necesarias.
El nuevo cuello de botella puede estar en corregir, no en encontrar
Gartner elaboró su informe a partir de una encuesta realizada durante abril y mayo de 2026 a 316 responsables sénior de riesgos y ejecutivos de diferentes sectores y regiones.
El resultado deja una clasificación muy marcada por la tecnología:
| Posición | Riesgo emergente | Posición anterior |
|---|---|---|
| 1 | Descubrimiento de vulnerabilidades mediante IA | Nueva entrada |
| 2 | Crisis geopolíticas del suministro energético | Nueva entrada |
| 3 | IA agéntica | 4 |
| 4 | Integridad de la información | 1 |
| 5 | Falta de preparación de la plantilla ante la IA | 5 |
El primer riesgo no significa que cualquier modelo de inteligencia artificial pueda descubrir automáticamente vulnerabilidades críticas y convertirlas inmediatamente en ataques.
El proceso continúa teniendo varias fases. Hay que localizar un comportamiento potencialmente vulnerable, demostrar que realmente existe un problema, determinar las versiones afectadas, estudiar su posible explotación y desarrollar una corrección.
La diferencia está en que parte de ese proceso empieza a poder automatizarse a una escala difícil de conseguir mediante análisis exclusivamente humano.
Google, por ejemplo, ha documentado el uso de sistemas de IA para localizar vulnerabilidades en proyectos de software. La compañía ha trabajado con iniciativas como Big Sleep y OSS-Fuzz y también está desarrollando CodeMender, orientado a utilizar agentes de IA para ayudar a reparar vulnerabilidades.
La consecuencia puede parecer paradójica: disponer de mejores herramientas para encontrar fallos puede provocar inicialmente que aumente el número de vulnerabilidades conocidas.
Desde la perspectiva de un administrador de sistemas eso no es necesariamente una mala noticia. Un fallo descubierto y corregido antes de ser explotado es preferible a una vulnerabilidad que permanece durante años oculta en una biblioteca utilizada por miles de aplicaciones.
El verdadero problema es qué ocurre cuando la capacidad para descubrir vulnerabilidades supera a la capacidad para corregirlas.
De los ciclos de parches a una seguridad más continua
Durante años muchas empresas han organizado la gestión de vulnerabilidades alrededor de procesos relativamente predecibles: escaneos periódicos, clasificación de riesgos, pruebas, ventanas de mantenimiento y despliegue de actualizaciones.
La IA puede presionar este modelo.
Si los agentes empiezan a revisar continuamente repositorios, dependencias, firmware y aplicaciones, el volumen de hallazgos potenciales puede crecer considerablemente. El departamento de seguridad necesitará entonces saber cuáles representan un riesgo real.
Esto convierte la priorización en una pieza cada vez más importante.
Una vulnerabilidad crítica en una biblioteca presente en cientos de servidores puede no ser explotable en una determinada configuración. Mientras tanto, un problema aparentemente menos grave situado en un servicio expuesto directamente a Internet puede requerir una intervención inmediata.
La puntuación de severidad seguirá siendo útil, pero tendrá que combinarse con información sobre exposición, configuración, explotación conocida y relevancia del activo.
Gartner plantea precisamente la necesidad de acelerar las estrategias de respuesta, mejorar la remediación y revisar cómo se evalúa el riesgo ante un escenario donde el descubrimiento puede producirse continuamente.
Para los departamentos de TI esto puede traducirse en una mayor integración entre gestión de activos, inventario de software, análisis de vulnerabilidades, desarrollo y automatización del parcheo.
También aumenta la importancia de conocer exactamente qué software existe dentro de la infraestructura.
Encontrar una vulnerabilidad es poco útil si una organización tarda días en saber qué servidores utilizan la biblioteca afectada.
La IA también entra en el lado defensivo
La misma tecnología que preocupa a los responsables de riesgos puede utilizarse para reforzar la seguridad.
Los agentes de IA pueden ayudar a revisar código, analizar dependencias, identificar configuraciones peligrosas, generar pruebas y proponer correcciones. Esto abre la posibilidad de que el descubrimiento y la remediación evolucionen simultáneamente.
El objetivo técnico puede acabar siendo un ciclo cada vez más automatizado:
detectar → validar → priorizar → corregir → probar → desplegar.
La intervención humana no desaparece. En infraestructuras críticas o aplicaciones empresariales resulta especialmente importante comprobar que un parche no provoca problemas adicionales.
Actualizar una biblioteca en una aplicación web moderna tampoco tiene las mismas implicaciones que modificar software industrial, un sistema heredado o una plataforma que debe funcionar permanentemente.
Ahí aparece otro problema conocido por los departamentos de sistemas: el software legacy.
Muchas empresas siguen ejecutando aplicaciones desarrolladas hace años que dependen de bibliotecas antiguas, versiones sin soporte o componentes que no pueden actualizarse fácilmente. Encontrar automáticamente más vulnerabilidades en esos entornos no hace que su resolución sea sencilla.
Cuando el parcheo inmediato no es posible, cobran más peso medidas como la segmentación de red, el aislamiento de servicios, los mínimos privilegios, el control del tráfico y la reducción de la superficie expuesta.
La IA agéntica entra también entre los mayores riesgos
El informe ofrece otra señal importante para el sector tecnológico. La IA agéntica sube desde la cuarta hasta la tercera posición entre los riesgos emergentes.
Aquí la preocupación cambia.
Los agentes pueden utilizar herramientas, acceder a aplicaciones, consultar bases de datos y ejecutar acciones. Cuanta más autonomía reciben, mayor importancia tienen los permisos y los mecanismos de control.
Para los equipos de sistemas aparece una cuestión conocida desde mucho antes de la llegada de la IA: qué puede hacer una identidad dentro de la infraestructura.
Un agente con permisos excesivos puede convertirse en un problema independientemente de que su comportamiento incorrecto proceda de un ataque, una instrucción mal interpretada o una configuración deficiente.
Los principios tradicionales de seguridad siguen siendo aplicables: mínimos privilegios, separación de funciones, registro de actividad, credenciales temporales y supervisión de operaciones sensibles.
La diferencia es que las identidades ya no representarán únicamente a personas, servicios y aplicaciones. Las empresas tendrán que administrar también agentes capaces de ejecutar secuencias completas de operaciones.
Gartner incluye además la integridad de la información en cuarta posición y la falta de preparación de las plantillas ante la IA en quinta. Tres de los cinco principales riesgos emergentes están así directamente relacionados con esta tecnología.
Para los departamentos de informática el mensaje que deja el informe es menos futurista de lo que puede parecer. La IA está aumentando la velocidad de procesos que ya existían: encontrar errores, analizar software, tomar decisiones y ejecutar acciones.
La infraestructura tendrá que responder aumentando también la velocidad de sus mecanismos de control.
Preguntas frecuentes
¿Puede la IA encontrar vulnerabilidades de software automáticamente?
Ya existen sistemas capaces de ayudar a localizar vulnerabilidades y comportamientos potencialmente inseguros en código. Sin embargo, encontrar un posible fallo no significa necesariamente que sea explotable y sigue siendo necesaria su validación.
¿Por qué Gartner considera este fenómeno un riesgo?
Porque la capacidad automatizada para descubrir vulnerabilidades podría avanzar más rápidamente que los procesos utilizados por las empresas para analizarlas y corregirlas.
¿Puede utilizarse también IA para solucionar vulnerabilidades?
Sí. Una de las áreas en desarrollo consiste precisamente en utilizar agentes para analizar código, proponer parches y comprobar correcciones. Google, entre otras organizaciones, está investigando este enfoque.
¿Qué cambia para administradores de sistemas y equipos de TI?
Aumenta la necesidad de disponer de inventarios precisos, conocer las dependencias del software, priorizar vulnerabilidades según su exposición real y reducir los tiempos necesarios para probar y desplegar actualizaciones.
