Informe de Tenable Holdings 2025: ¿Por qué el 70 % de las cargas de trabajo de IA en la nube están en riesgo?

Foto de Pavel Danilyuk

En un momento en que la adopción de inteligencia artificial (IA) y entornos en la nube crece con rapidez, el reciente informe de Tenable Holdings titulado “Cloud AI Risk Report 2025” advierte que muchas organizaciones podrían estar construyendo sus innovaciones sobre una base insegura. pt-br.tenable.com+3nasdaq.com+3stocktitan.net+3
Este artículo explora el problema, su importancia para empresas (incluyendo en Latinoamérica), desarrolla el aspecto técnico, analiza la dimensión empresarial, propone buenas prácticas y concluye con un llamado a la acción.

Resumen del problema y su importancia para las empresas (con foco Latinoamérica)

El problema

El informe señala que aproximadamente el 70 % de las cargas de trabajo de IA en la nube que contienen software de IA tienen al menos una vulnerabilidad crítica sin corregir, frente al 50 % de cargas de trabajo sin IA.
Entre los hallazgos concretos están: cuentas con permisos excesivos, servicios gestionados en la nube mal configurados (lo que Tenable denomina arquitectura “Jenga®-style”) y software con fallos conocidos que aún están presentes en muchos entornos de IA en la nube.
El riesgo no es solo técnico: implica manipulación de datos, filtración de información sensible, interrupción de sistemas y daño reputacional. nasdaq.com+1

¿Por qué es importante para las empresas?

En un entorno donde la transformación digital, la IA y la nube son motores clave de crecimiento, que casi 7 de cada 10 cargas de trabajo de IA tengan vulnerabilidades significa que la innovación puede estar construida sobre terreno frágil.
Para las empresas, las implicaciones son varias:

Pérdida de confianza del cliente si un sistema de IA se ve comprometido.
Imposibilidad de aprovechar plenamente los beneficios de IA (automatización, personalización, análisis predictivo) si el riesgo técnico limita su despliegue.
Incremento del coste de cumplimiento y de remediación, en especial en industrias reguladas.
Brechas de seguridad que pueden derivar en sanciones, incidentes reputacionales y pérdidas financieras.

Relevancia para Latinoamérica

Si bien gran parte de los reportes provienen de contextos globales, el fenómeno también aplica en América Latina. Algunas claves:

En la región se aceleran los proyectos de IA y nube, pero muchas organizaciones aún carecen de madurez en seguridad.
Las infraestructuras cloud y los servicios gestionados están más accesibles, pero también más expuestos.
Las regulaciones de datos, privacidad y ciberseguridad están evolucionando (en Colombia con la Ley 1581, en Brasil con la LGPD, etc.), lo que exige un enfoque preventivo.
Las empresas latinoamericanas que adopten IA sin una estrategia de seguridad robusta corren el riesgo de quedar en desventaja frente a competidores que invierten también en seguridad.

Por tanto, el informe de Tenable es una alerta clara: para innovar con IA en la nube, no basta con desplegar modelos. También hay que asegurar la base.

¿Qué está pasando “bajo el capó”?

Vulnerabilidades y cargas de trabajo de IA

Las cargas de trabajo de IA en la nube suelen incluir componentes como notebooks, servicios gestionados de IA (por ejemplo, Amazon SageMaker, Google Vertex AI, Microsoft Azure Cognitive Services), pipelines de entrenamiento, buckets de datos, APIs, etc. Los hallazgos del informe señalan:

La vulnerabilidad conocida CVE-2023-38545 (relacionada con curl) aparece en más del 30 % de las cargas de IA en la nube estudiadas.
En entornos de notebooks de IA, especialmente los gestionados por proveedores de nube, se han identificado cuentas con acceso por defecto excesivo, lo que puede facilitar la escalada de privilegios. Ejemplo: el 77 % de las organizaciones con Google Vertex AI Notebook tenían al menos una instancia configurada con la cuenta de servicio predeterminada de Compute Engine con privilegios elevados. Tenable®+1
Los servicios de IA gestionados a menudo se construyen sobre múltiples capas (contenedores, máquinas virtuales, servicios de orquestación). Esta arquitectura en “capas” genera riesgos heredados invisibles: lo que Tenable denomina arquitectura “Jenga-style”. Tenable®

Modelo de riesgo específico para IA en la nube

Desde una perspectiva técnica, se puede trazar el riesgo de la siguiente forma:

Entrenamiento / despliegue de modelo de IA → utiliza datos, contenedores, notebooks, servicios gestionados.
Exposición de superficie de ataque aumentada → las cargas de IA manejan acceso, datos, permisos, múltiples APIs.
Vulnerabilidad no corregida o mal configuración → explotar una vulnerabilidad (por ejemplo en curl) puede permitir desde ejecución de código hasta acceso a datos de entrenamiento.
Compromiso del modelo o datos → manipulación de datos de entrenamiento (“data poisoning”), filtración de modelos o pérdida de integridad.
Consecuencias para la organización → decisiones automatizadas erradas, reputación dañada, incumplimiento regulatorio, impacto financiero.

Tecnologías clave y puntos de atención

Gestión de identidad y acceso (IAM): asegurar que las cuentas de servicio, API keys, permisos, roles estén correctamente configurados, con principio de menor privilegio.
Visibilidad de la superficie de ataque: descubrir todos los activos IA, notebooks, buckets de datos, cuentas de entrenamiento.
Parcheo y gestión de vulnerabilidades para librerías y entornos de IA: no solo sistemas operativos, también frameworks de IA, contenedores, dependencias.
Auditoría de configuración de servicios gestionados: verificar que los proveedores de IA cloud hayan sido configurados de forma segura (acceso público bloqueado, reducción de privilegios, logging activado).
Monitoreo y detección de anomalías en los modelos: comportamiento extraño, cambios en los datos de entrenamiento, acceso inesperado.

El mensaje clave es que desplegar IA en la nube sin un plan de seguridad técnico sólido es construir sobre arena movediza.

Análisis empresarial: implicaciones estratégicas y operativas

Ventajas y oportunidades

Para las empresas, la adopción de IA en la nube representa una ventaja competitiva: agilidad, escalabilidad, personalización, nuevos ingresos, mejores decisiones. Pero esta ventaja sólo se materializa si la tecnología está bien gestionada.
El informe de Tenable crea también una ventana de oportunidad para los proveedores de seguridad, consultoras y para las organizaciones que adopten temprano una postura de protección integral.

Riesgos estratégicos

Exposición al daño reputacional: un incidente relacionado con IA puede generar desconfianza del cliente, afectando marca, retención y negocio futuro.
Costes indirectos y regulatorios: en mercados donde la regulación de datos, IA, privacidad están creciendo, no cumplir con la gobernanza puede generar sanciones y bloqueos.
Desventaja competitiva: si una organización invierte en IA pero no en su seguridad, podría verse obligada a frenar proyectos por incidentes, mientras competidores más seguros avanzan.
Dependencia de terceros: muchas infraestructuras de IA usan servicios de nube gestionados; si estos tienen fallos o mal configuración, la responsabilidad recae parcialmente en la empresa usuaria.

Implicaciones para Latinoamérica

En Latinoamérica, este escenario toma características particulares:

Muchas startups y empresas medianas adoptan IA y nube para acelerar su transformación digital, pero pueden carecer de recursos de seguridad especializados.
Los presupuestos de TI/seguridad suelen ser más ajustados, lo que obliga a priorizar. Un enfoque preventivo puede dar ventaja competitiva desde el inicio.
La globalización y la cadena tecnológica implican que incidentes en otros mercados pueden afectar a empresas latinoamericanas (por ejemplo, en proveedores de nube compartidos).
La reputación en entornos locales/regionales es clave: una brecha puede impactar alianzas, credibilidad ante inversores y clientes.

¿Qué pueden hacer las empresas?

Adoptar un enfoque de gestión de exposición (exposure management) en lugar de sólo gestión reactiva de vulnerabilidades.
Evaluar y priorizar proyectos de IA según su nivel de riesgo, no sólo su valor de negocio.
Involucrar al equipo de seguridad desde el diseño del proyecto de IA, no al final.
Invertir en visibilidad, entrenamiento, políticas claras, y plataformas que integren nube + IA + identidad.

Buenas prácticas recomendadas

Para las organizaciones que ya están usando IA en la nube o están por hacerlo, estas buenas prácticas pueden ayudar:

Mapear toda la superficie de IA: identifica notebooks de entrenamiento, buckets de datos, APIs de inferencia, cuentas de servicio, privilegios, etc.
Aplicar principio de menor privilegio (least privilege): asegúrate de que las cuentas, APIs y servicios sólo tengan los permisos necesarios.
Gestionar y parchear todas las dependencias: tanto componentes de IA como librerías de entrenamiento, contenedores, imágenes, frameworks (por ejemplo, asegurarse de que CVE conocidos estén corregidos).
Verificar configuración de servicios gestionados de IA: ejemplos de riesgo son buckets de entrenamiento públicos, cuentas de servicio predeterminadas con permisos elevados, etc.
Implementar monitoreo continuo y detección de anomalías: tanto para accesos como para comportamiento del modelo, data drift, manipulación.
Entrenamiento y concienciación del equipo: asegúrate de que los equipos de desarrollo, datos, operación y seguridad comprendan los riesgos específicos de IA + nube.
Integrar la seguridad desde el inicio del ciclo de vida de IA: desde la concepción del modelo hasta su despliegue, operación y retiro.
Adoptar una visión unificada de riesgo nube/IA/híbrido: según otro informe de Tenable, muchas organizaciones operan entornos híbridos con múltiples cadenas de nube y carecen de visibilidad integrada.

Conclusión

El nuevo informe de Tenable Holdings no es simplemente un aviso técnico: es una llamada a la acción para todas las organizaciones que están desplegando IA en la nube. La innovación está ahí, pero la base sobre la que se construye puede estar llena de grietas.
Para Latinoamérica, esto significa que no basta con subirse a la ola de la IA: también hay que asegurar que la ola no te arrastre. Las empresas que adopten IA con seguridad van a estar en mejor posición para liderar, mientras que las que no lo hagan podrían ver sus ambiciones frenadas por incidentes evitables.

¿Tu organización está desplegando IA en la nube sin una estrategia de seguridad clara? ¿O quieres revisar la postura de seguridad antes de escalar? Te invito a descargar el informe “Cloud AI Risk Report 2025” de Tenable y comparar sus hallazgos con tu infraestructura actual. Luego, prioriza una revisión de tu arquitectura de IA en la nube y crea un plan de mitigación concreto.
Si necesitas orientación o quieres que preparemos un checklist de seguridad para IA en la nube adaptado a Latinoamérica, déjanos un comentario o contáctenos — estaremos encantados de ayudarte a asegurar que tu proyecto de IA tenga éxito y sea seguro.

Blog Oficial MaclaTech

Buscar este blog