Desconfianza en IA para ciberseguridad: solo 1 de cada 10 confía

¿Qué ha ocurrido?

El informe State of Pentesting Report 2026 de Cobalt, basado en encuestas a unos 450 profesionales de ciberseguridad, revela un desplome histórico en la confianza hacia las herramientas de IA completamente automatizadas para pruebas de penetración. En 2025, el 29% de los encuestados confiaba plenamente en la automatización con IA; en 2026, esa cifra se desplomó al 9%, una caída del 69% interanual. Además, el 78% de los participantes afirmó que los escáneres automatizados pasaron por alto vulnerabilidades críticas, lo que explica el drástico descenso. Estos datos provienen de dos oleadas de encuestas realizadas por Cobalt, una en 2025 y otra en 2026, que comparan la evolución de la percepción en la comunidad de ciberseguridad.

El contexto histórico es clave: durante la última década, la automatización en ciberseguridad ha sido vista como la panacea para la escasez de talento y la creciente superficie de ataque. Herramientas como Mythos de Anthropic, lanzadas con gran expectación, prometían reducir drásticamente los tiempos de detección. Sin embargo, el informe de Cobalt sugiere que la realidad es más compleja. La caída en la confianza no es un hecho aislado: recuerda al escepticismo que surgió tras la ola de falsos positivos de los primeros sistemas de detección de intrusiones basados en firmas a principios de los 2000, que llevó a la adopción de enfoques híbridos.

El problema de las vulnerabilidades en LLM

Las vulnerabilidades en modelos de lenguaje grande (LLM) resultaron especialmente complejas. El tiempo medio de resolución (MTTR) se duplicó, pasando de 19 a 36 días, según el informe. Al momento del análisis, solo el 38% de las vulnerabilidades de LLM estaban corregidas, mientras que el 62% seguía abierta, lo que indica una capacidad de remediación limitada. Casi un tercio de los hallazgos en pruebas de IA se calificaron como de alto riesgo, 2.7 veces más que en software convencional. Esto refleja la naturaleza única de los LLM, donde los errores pueden tener consecuencias impredecibles, como la generación de contenido sesgado o la filtración de datos sensibles.

Andrew Obadiaru, CISO de Cobalt, señaló: “Las vulnerabilidades de LLM dependen profundamente del contexto y son invisibles para herramientas que carecen de una comprensión arquitectónica de la aplicación”. Esta afirmación subraya la necesidad de un enfoque más matizado, donde la IA no se utiliza como una caja negra, sino como un componente integrado en un proceso de prueba más amplio.

¿Por qué es importante?

Este cambio de confianza tiene implicaciones profundas para la industria de la ciberseguridad. La promesa de la automatización total, impulsada por herramientas como Mythos de Anthropic, se enfrenta a la realidad de que los algoritmos no guiados generan falsos positivos y, peor aún, falsos negativos costosos. En un mercado donde las brechas de seguridad pueden costar millones de dólares, la confianza en las herramientas es fundamental. La caída del 29% al 9% indica que los profesionales están reevaluando sus estrategias, lo que podría ralentizar la adopción de IA en entornos críticos.

Además, el informe de Cobalt contrasta con el entusiasmo mediático en torno a Mythos y sus variantes chinas, como la desarrollada por 360. Mientras los titulares celebran los avances, los datos de campo muestran una realidad más cautelosa. Esto no es un rechazo a la IA, sino una maduración del mercado: las empresas están aprendiendo a distinguir entre hype y valor real. El impacto en los usuarios finales es doble: por un lado, las organizaciones que dependen exclusivamente de la automatización pueden estar expuestas a riesgos no detectados; por otro, aquellas que adoptan modelos híbridos podrían lograr una seguridad más robusta.

Consecuencias y tendencias

En respuesta a esta desconfianza, los modelos híbridos han ganado terreno de forma significativa. Según el informe, el 47% de los profesionales ahora prefiere combinar automatización con supervisión humana, un aumento del 22% interanual respecto al 25% registrado en 2025. La automatización se relega a entornos de bajo riesgo, mientras que la experiencia humana sigue siendo indispensable para vulnerabilidades complejas de lógica de negocio. Esta tendencia refleja un patrón observado en otras industrias, como la conducción autónoma, donde después de años de promesas, se ha adoptado un enfoque más realista de asistencia al conductor.

El informe también revela que las vulnerabilidades de LLM son particularmente difíciles de detectar y corregir, con un MTTR que se duplica y una tasa de corrección inferior al 40%. Esto sugiere que las organizaciones necesitan invertir en capacitación especializada y en herramientas que integren comprensión contextual. La CISA (Cybersecurity and Infrastructure Security Agency) ha emitido advertencias similares sobre los riesgos de los LLM en entornos empresariales, lo que refuerza la necesidad de un enfoque cauteloso.

En el mercado, esto podría traducirse en un aumento de la demanda de servicios de pentesting híbridos y de consultoría especializada en IA. Las startups que ofrecen soluciones puramente automatizadas podrían enfrentar dificultades, mientras que aquellas que integran supervisión humana podrían capturar mayor cuota de mercado. Grandes actores como CrowdStrike y Palo Alto Networks ya están incorporando capacidades híbridas en sus plataformas, lo que indica que la tendencia es global.

Qué deben saber los lectores

• No confiar ciegamente en herramientas de IA para ciberseguridad; validar siempre con expertos humanos, especialmente en vulnerabilidades de LLM.
• Los modelos híbridos (automatización + humanos) son la tendencia actual y probablemente la más efectiva, con un 47% de adopción en 2026.
• Las vulnerabilidades en LLM son particularmente difíciles de detectar y corregir; requieren atención especializada y un MTTR que se ha duplicado a 36 días.
• El informe de Cobalt se basa en encuestas a 450 profesionales, lo que le da una base estadística sólida, aunque el tamaño de la muestra es limitado en comparación con la población global de ciberseguridad.
• La especulación sobre el futuro sugiere que la IA seguirá siendo una herramienta complementaria, no un reemplazo, y que la confianza se recuperará solo cuando las herramientas demuestren una precisión comparable a la humana en contextos complejos.

“La automatización debe desplegarse exactamente donde sobresale, pero la experiencia humana de élite sigue siendo fundamental para descubrir y remediar los riesgos de lógica de negocio más complejos.” — Andrew Obadiaru, CISO de Cobalt.

En conclusión, el informe de Cobalt marca un punto de inflexión en la industria de la ciberseguridad. La confianza ciega en la IA ha dado paso a un enfoque más equilibrado, donde la tecnología y el juicio humano trabajan en conjunto. Para las empresas, la lección es clara: la automatización es una herramienta poderosa, pero no una solución mágica. La inversión en talento humano y en procesos híbridos será clave para enfrentar las amenazas del futuro.