Puntos clave
- La IA agentiva ya se utiliza en el sector financiero: revisiones de cumplimiento normativo, supervisión de transacciones, preparación de auditorías, presentación de informes reglamentarios; además, los agentes operan, por defecto, sin necesidad de inspeccionar archivos.
- Los agentes financieros se conectan a procesadores de pagos, sistemas ERP, bases de datos reguladas y portales de auditores. Cada conexión constituye un límite de confianza; un solo archivo infectado puede poner en peligro todas ellas.
- El malware tradicional (Emotet, Carbanak, FIN7) y las amenazas emergentes (inyección de mensajes) se aprovechan de la confianza depositada en los agentes a la velocidad de un ordenador, antes de que un ser humano pueda intervenir.
- DORA, la norma PCI DSS, las normas de divulgación de información cibernética de la SEC y la FINRA/FFIEC exigen todas ellas un control de los flujos de trabajo de los agentes, con obligaciones de notificación de incidentes que se activan en el momento en que un agente gestiona incorrectamente un expediente.
- La inspección de archivos antes de su procesamiento por el agente es el control fundamental que falta. MetaDefender™ Cloud intercepta todos los archivos —gracias a más de 20 motores, la tecnología Deep CDR™ y Adaptive Sandbox — antes de que el agente llegue a verlos.
Julio de 2026 fue un mes interesante en lo que respecta a la seguridad de la IA agentiva, por decirlo suavemente. Tanto Anthropic como OpenAI acapararon los titulares con noticias de gran relevancia; ambas empresas se vieron implicadas en casos en los que los agentes lograron escapar de entornos aislados y vulneraron servidores que, por lo demás, eran seguros.
La noticia no sorprendió a nadie. Ya en febrero de 2026 empezaron a salir a la luz estudios que documentaban la tendencia de los agentes a actuar por su cuenta cuando se les dejaba sin supervisión. Uno de esos estudios es el titulado «Agentes del caos», que revela que los agentes pueden:
- seguir las indicaciones de quienes no son propietarios
- divulgar datos confidenciales
- llevar a cabo acciones destructivas a nivel del sistema
- difundir prácticas peligrosas entre ellos
En resumen, la IA agentiva no está, en este momento, preparada para hacerse cargo por completo de las tareas cotidianas. En ningún ámbito queda esto más claro que en la superficie de ataque de los agentes de IA en el sector financiero, donde la autonomía ya supera a la supervisión.
Tu agente de cumplimiento ha procesado unos 300 documentos este mes, recopilando expedientes, facturas, extractos de proveedores y archivos de auditoría de todos los rincones de tu entorno de almacenamiento. ¿En qué momento de ese proceso comprobó si alguno de esos archivos era realmente seguro?
Si no tienes una respuesta clara:
- No eres el único; la mayoría de las entidades financieras tampoco lo hacen.
- Responder a esa pregunta debería ser tu prioridad número uno.
Cómo la IA agentiva amplía la superficie de ataque en el sector financiero
En 2025, Gartner constató que el 59 % de los responsables financieros habían implantado la inteligencia artificial en sus departamentos financieros. Aunque aún no se han publicado las cifras de 2026, solo podemos suponer que las tasas de adopción han aumentado. Los agentes de inteligencia artificial se utilizan para revisiones de cumplimiento normativo, supervisión de transacciones, preparación de auditorías o presentación de informes reglamentarios.
Tomemos como ejemplo un flujo de trabajo típico de revisión mensual de cumplimiento. Un agente:
- Recupera documentos de SharePoint, Box o Amazon S3
- Analiza y extrae datos, y los contrasta con la documentación justificativa
- Consulta Salesforce o Stripe para conciliar las discrepancias en los pagos
- Crea tickets de Jira y los deriva al departamento financiero o al jurídico
- Notifica a los equipos correspondientes a través de Teams o por correo electrónico
- Elabora informes de cumplimiento normativo y los exporta a las partes interesadas externas
Son seis pasos, varios sistemas y ninguna comprobación de archivos. Se confía en todos los documentos que llegan al proceso. Eso es tanto el diseño como el problema.
¿Por qué los flujos de trabajo financieros están más expuestos a los riesgos de seguridad derivados de la IA agentiva?
A excepción de los hacktivistas o de los actores patrocinados por Estados, la mayoría de los atacantes se centran principalmente en sectores muy rentables, sin ningún otro objetivo detrás. El año pasado, los sectores más atacados fueron la industria manufacturera, la sanidad, las finanzas y la administración pública; es decir, aquellos que cuentan tanto con abundantes conjuntos de datos como con mucho que perder.
En el caso del robo directo, los piratas informáticos se centran en las redes de pago, las cuentas bancarias y la infraestructura de blockchain para desviar fondos directamente. Las entidades financieras también son blanco de estos ataques debido a la intensa presión a la que están sometidas para mantener sus operaciones, cumplir con la normativa y conservar la confianza del público, lo que las hace más propensas a pagar rescates para recuperar sus sistemas.
Las operaciones específicas del sector también pueden influir. Los flujos de trabajo de Agentic se conectan con procesadores de pagos, sistemas ERP, portales normativos, almacenamiento en la nube y portales de auditores. Cada una de esas conexiones constituye un límite de confianza y cada límite de confianza es un posible punto único de fallo.
La IA agencial está ganando terreno gracias a su ejecución a velocidad de máquina y a todas las promesas de aumento de la productividad que conlleva. Pero es precisamente en esa velocidad donde reside el peligro.
Lo único que solía detectar una factura maliciosa o un informe de auditoría infectado era que una persona se detuviera un momento antes de abrirlo. Agentic AI elimina por completo ese punto de control. Un archivo infectado que antes habría permanecido en la bandeja de entrada de alguien durante un día ahora se importa, se lee y se procesa en cuestión de segundos.
Las organizaciones también se enfrentan al problema de que los empleados utilicen herramientas de IA fuera de los canales regulados o compartan datos no autorizados con la IA. En 2023, unos ingenieros de Samsung subieron código fuente propio y notas de reuniones internas a ChatGPT. El verano pasado, el entonces director en funciones de la CISA subió documentos gubernamentales confidenciales a una sesión pública de ChatGPT.
Si las herramientas de chat no reguladas generaban tal riesgo de exposición, los flujos de trabajo de los agentes no regulados, con acceso directo a los sistemas de pago y a los datos normativos, aumentan considerablemente el riesgo.
Escenarios de amenaza real para la IA agentiva en el sector financiero
Las familias de malware que llevan más de una década atacando el sector financiero no necesitan evolucionar mucho para aprovecharse de los flujos de trabajo basados en agentes. Llámalo «malware de IA basado en agentes» si quieres: las mismas cargas útiles, pero una vía de propagación más rápida y menos supervisada. Por citar algunos ejemplos:
- Emotet, el troyano bancario que se propagó durante años a través de correos electrónicos no deseados camuflados como facturas y avisos de pago, utilizando documentos de Word con macros activadas como mecanismo de distribución; la CISA lo señaló como una de las familias de malware cuya eliminación resulta más costosa. En un flujo de trabajo basado en agentes, el mecanismo se aplica directamente. Un agente ingiere el archivo adjunto de la «factura» como parte del procesamiento rutinario de documentos. Si en ese momento no se cuenta con un sistema de seguridad de archivos basado en IA para el agente, nada impide que este lo sincronice con SharePoint, como parte de la indexación habitual, o que el propio agente lo comparta en Teams.
- Carbanak fue un robo bancario de 1.000 millones de dólares perpetrado mediante facturas maliciosas. Los atacantes utilizaron archivos adjuntos maliciosos de Word y CPL para hacerse con un punto de acceso y, a continuación, se desplazaron por los sistemas internos hasta llegar a los servicios de procesamiento de pagos, los cajeros automáticos y las transferencias SWIFT. El robo original requirió aproximadamente dos años de movimientos laterales pacientes por parte de operadores humanos. En un entorno de agentes, un agente con acceso permanente a los sistemas ERP o de pagos podría, en principio, llegar al mismo tipo de sistema en una sola acción automatizada.
- FIN7 se labró una trayectoria profesional mediante correos electrónicos de spear-phishing que contenían documentos de Office que aprovechaban vulnerabilidades conocidas, lo que provocó el robo de credenciales y la filtración de datos de tarjetas de pago y registros financieros de más de 100 organizaciones. Si se envía el mismo documento a un agente con permisos autónomos para gestionar el correo electrónico o procesar archivos, la ingestión, la exposición de credenciales y la filtración podrían encadenarse sin que ninguna persona llegara a revisar el archivo.
- La inyección de comandos es aquella en la que la amenaza activa ya es real, no hipotética. Microsoft ha revelado EchoLeak (CVE-2025-32711), una vulnerabilidad de inyección de comandos de «cero clics» en Microsoft 365 Copilot, en la que unas instrucciones ocultas incrustadas en un correo electrónico hacían que Copilot las ejecutara automáticamente. La inyección de comandos es una nueva clase de ataque que ni siquiera necesita malware para funcionar, por lo que no puede identificarse en absoluto mediante la detección basada en firmas. Y eso es precisamente lo que la convierte en la más difícil de detectar de las cuatro.
En cuanto a cómo se presenta el sector financiero en la práctica:
- El coste medio de una filtración provocada por Shadow AI puede alcanzar los 4,63 millones de dólares; eso supone 670 000 dólares más que una filtración estándar.
- Casi la mitad (48 %) de los profesionales de la seguridad consideraron que la IA autónoma sería el principal vector de ataque en 2026.
- Y solo el 33 % de las organizaciones dispone de los datos básicos necesarios para aplicar prácticas sólidas de seguridad en materia de IA.
Cómo abordan los marcos normativos la IA agentiva
La mayoría de los marcos normativos del sector financiero ya han incorporado la IA agentiva en sus normas de cumplimiento, exigiendo a las organizaciones que asocien el comportamiento de los agentes a los mismos controles que aplican a otros flujos de trabajo. Por lo tanto, la IA agentiva es una cuestión normativa y ocupa un lugar central en la forma en que los inspectores definen actualmente los riesgos de la IA en los servicios financieros.
- DORA considera a los agentes de IA como sistemas de TIC. Dado que la ley está en vigor desde el 17 de enero de 2025, las entidades financieras de la UE deben integrar los fallos de los agentes en los mismos pilares de gestión de riesgos de TIC, notificación de incidentes y pruebas de resiliencia que se aplican a cualquier otro sistema. La BaFin alemana lo confirmó directamente en sus directrices de enero de 2026: los agentes y los modelos de lenguaje grande (LLM) no cuentan con un régimen específico y deben integrarse en los marcos de gobernanza y pruebas existentes de la DORA. Un archivo que un agente gestione incorrectamente es, según la DORA, un incidente de TIC como cualquier otro.
- PCI DSS se aplica a cualquier sistema que almacene, procese o transmita datos de titulares de tarjetas, o que pueda afectar a la seguridad de dichos datos; el Consejo de Normas de Seguridad de PCI ha declarado explícitamente que esto incluye los sistemas de IA con acceso a información de pago protegida. Una factura o un extracto con el que interactúe un agente entra dentro del ámbito de aplicación de la norma PCI del mismo modo que lo haría un sistema operado por personas, lo que significa que se aplican los mismos controles, sea o no un agente.
- Normas de la SEC sobre divulgación de incidentes cibernéticos exigen a las empresas que cotizan en bolsa que comuniquen los incidentes de ciberseguridad significativos en un plazo de cuatro días hábiles desde que se determine su importancia. La norma no distingue entre un incidente provocado por un error humano y otro provocado por un agente autónomo. Si resulta que un archivo sobre el que ha actuado un agente expone datos significativos, el plazo de notificación comienza de la misma forma que lo haría para cualquier otra violación de la seguridad.
- La FINRA y la FFIEC han situado la gobernanza de la IA en el centro de su análisis. El Informe Anual de Supervisión Regulatoria de 2026 de la FINRA dedicó su primera sección específica a la IA generativa y la IA agentiva, con expectativas en materia de pruebas, seguimiento, revisión humana y mantenimiento de registros para las actividades impulsadas por la IA.
En resumen: una infección basada en archivos y propagada por IA puede dar lugar a un incidente de TIC según la DORA, a un incumplimiento del ámbito de aplicación de la norma PCI DSS, a una determinación de importancia relativa según las normas de la SEC y a que los inspectores de la FINRA o la FFIEC señalen una deficiencia en la supervisión.
Cinco medidas para los responsables de seguridad financiera
Tal y como se ha adelantado, los controles de la IA agencial comienzan a nivel de archivo; es decir, todo parte de una pregunta: ¿quécontiene el archivo que este agente está a punto de procesar?
A partir de la respuesta, se desprende una serie de buenas prácticas (que deberían convertirse en hábitos):
- Trata todas las entradas como si no fueran fiables, incluidos los archivos procedentes de fuentes internas de confianza, y redirígelas a través de una capa de análisis específica antes de que un agente pueda acceder a ellas.
- Partiendo del principio de «confianza cero», se combinan políticas de seguridad e inspección en varias capas para determinar si el archivo está comprometido o no.
- Define a qué se refieren las acciones destructivas en el contexto de la IA agencial y, a continuación, establece definiciones explícitas de las políticas.
- Verifica y controla las rutas de movimiento de datos entre los sistemas con los que interactúan tus agentes: almacenamiento, CRM, procesadores de pagos, gestión de incidencias y herramientas de comunicación.
- Protege entornos de almacenamiento como SharePoint y S3 mediante un análisis basado en eventos, de modo que los archivos se comprueben en el momento en que se guardan, y no después de que un agente ya haya actuado sobre ellos.
Cómo se integra MetaDefender™ Cloud en el proceso de trabajo
Los escenarios de amenaza mencionados anteriormente solo son técnicamente posibles si un archivo llega a un agente antes de que alguien haya confirmado que es seguro. MetaDefender™ Cloud interviene y elimina la amenaza. A continuación te explicamos cómo.
Un archivo entra en el flujo de trabajo, ya sea desde una bandeja de entrada, una unidad compartida o un portal de subida de archivos. MetaDefender Cloud lo intercepta antes de que el agente de IA llegue a tocarlo. A partir de ahí, más de 20 motores antimalware (a través de la tecnología Metascan™ Multiscaning ), la tecnología Deep CDR™, Proactive DLP™ y la Adaptive Sandbox tecnología funcionan en paralelo:
- Los motores buscan firmas conocidas.
- La tecnología Deep CDR™ desmonta y reconstruye el archivo para que no quede ningún contenido activo, independientemente de si se ha detectado o no.
- El « Adaptive » (Sandbox ) ejecuta archivos en un entorno aislado para observar su comportamiento.
- Proactive DLP oculta los datos confidenciales antes de que sigan su recorrido.
Si el archivo es malicioso, se bloquea antes de que llegue a los agentes conectados. Además, todo el proceso puede correlacionarse con las pruebas que solicitan los inspectores de DORA, PCI DSS y la SEC.
Sin MetaDefender Cloud , el flujo de trabajo basado en agentes funciona a ciegas; los archivos se incorporan directamente al flujo de trabajo de IA sin que se realice ningún análisis en ningún punto de esa ruta, por lo que el malware, las macros maliciosas y las inyecciones de comandos pasan desapercibidos. Nadie tiene visibilidad del contenido de los archivos ni de las amenazas incrustadas hasta que algo falla más adelante en el proceso. Un solo documento malicioso puede convertirse en un incidente que afecte a toda la organización en cuestión de minutos, dada la rapidez con la que un agente puede sincronizar, compartir y actuar. Y cuando, finalmente, un organismo regulador solicita pruebas de lo que ocurrió y cuándo, no hay ningún registro de auditoría que presentar.
De este modo, ese mismo archivo pasa por un punto de control antes de que el agente llegue a verlo. La idea principal consiste en cambiar la ubicación del punto de control. Si se sitúa por delante del agente, la velocidad de este deja de ser un inconveniente. Esa es la premisa fundamental de una seguridad basada en la IA agentiva bien aplicada.
Empieza con MetaDefender Cloud
La IA agentiva está demostrando lo que se puede lograr cuando las revisiones de cumplimiento, la preparación de auditorías y la supervisión de transacciones se realizan en cuestión de minutos en lugar de días. Pero llega el archivo infectado y nada lo detiene.
¿Quieres imaginar qué consecuencias tiene esa velocidad ante un error o un archivo malicioso, cuando no hay nada que lo compruebe primero? Cambia el punto de control. Colócalo antes del agente, en lugar de después del incidente, y la exposición a las amenazas basadas en archivos dejará de ser una cuestión de suerte.
Habla con un experto sobre cómo proteger tu proceso de IA agentiva con MetaDefender Cloud .
Preguntas frecuentes
¿Qué es la IA agentiva y por qué genera nuevos riesgos para la ciberseguridad?
La IA agentiva hace referencia a los sistemas de inteligencia artificial capaces de recuperar datos de forma autónoma, llevar a cabo acciones en sistemas conectados y completar tareas de varios pasos sin necesidad de aprobación humana en cada uno de ellos. En el ámbito financiero, esa autonomía significa que un único archivo puede desencadenar acciones como la extracción de datos, consultas en el sistema, la creación de tickets o la elaboración de informes externos, todo ello antes de que una persona lo revise.
¿Cómo puede un solo archivo infectado comprometer el flujo de trabajo de un agente de IA?
Un agente puede incorporar un archivo malicioso sin darse cuenta y, a continuación, realizar acciones con él. Esto puede implicar sincronizar el archivo entre sistemas de almacenamiento, compartirlo a través de canales de comunicación o ejecutar código incrustado en el propio contexto de ejecución del agente, todo ello sin el paso de revisión manual que antes permitía detectar estos ataques.
¿Qué es la inyección de prompts y cómo afecta a los agentes de IA en el ámbito financiero?
La inyección de comandos consiste en ocultar instrucciones dentro de un documento que un agente de IA interpreta como órdenes. Dado que no hay código malicioso de por medio, las herramientas tradicionales de detección de virus y malware no lo detectan, lo que hace que sea especialmente difícil de detectar en los flujos de trabajo financieros que procesan grandes volúmenes de documentos externos.
¿De qué manera la IA «en la sombra» expone a las entidades financieras a filtraciones de datos?
El término «Shadow AI» hace referencia al uso que hacen los empleados de herramientas de inteligencia artificial fuera de los canales autorizados y regulados. Una vez que esos datos quedan fuera del control de la organización, no es posible recuperarlos y no existe un registro de auditoría a efectos de cumplimiento normativo.
¿Qué normativa regula la IA autónoma en los servicios financieros?
Las normas DORA, PCI DSS, las normas de divulgación cibernética de la SEC y los estándares de inspección de la FINRA y la FFIEC inciden en el uso de la IA agentiva en el sector financiero, aunque ninguna de ellas se redactó específicamente para ello. Cada una de ellas exige una combinación de gobernanza, pruebas, gestión de datos validados y notificación de incidentes que los flujos de trabajo agentivos deben cumplir.
¿Cómo puedo añadir medidas de seguridad para los archivos a un flujo de trabajo de agentes de IA ya existente?
Inserta una capa de análisis específica entre la importación de archivos y el procesamiento por parte del agente. Cada archivo se inspecciona antes de que el agente actúe sobre él, en lugar de confiar en que sea el propio agente quien detecte el contenido malicioso.
¿Qué ofrece la inspección de archivos que no ofrecen los antivirus tradicionales?
El antivirus tradicional se basa principalmente en firmas de malware conocidas. MetaDefender Cloud combina el análisis múltiple, la tecnología Deep CDR™ (que reconstruye los archivos para eliminar el contenido activo potencialmente malicioso) y el entorno aislado (sandboxing) para detectar amenazas de «día cero» y documentos maliciosos que las herramientas basadas en firmas pasan por alto por completo.
¿Cuál es la diferencia entre la seguridad basada en IA agentiva y la seguridad tradicional de los terminales?
La seguridad tradicional de los terminales protege el dispositivo en el que se almacena un archivo. La seguridad basada en IA con agentes debe proteger todo el proceso, desde la ingesta hasta todos los sistemas a los que se conecta el agente. Una herramienta de seguridad para terminales solo detecta un archivo si este pasa por un dispositivo gestionado; un agente, en cambio, puede ingestar, transformar y actuar sobre un archivo en el almacenamiento en la nube, las herramientas SaaS y los sistemas de pago sin que intervenga en ningún momento un terminal gestionado.
¿Pueden las herramientas de seguridad tradicionales detectar los ataques de inyección de comandos?
No. La inyección «prompt» oculta instrucciones en texto sin formato dentro de un documento; no hay código malicioso, ni vulnerabilidad explotada, ni firma que coincida. Las herramientas antivirus y EDR tradicionales no lo detectan. La detección requiere una inspección basada en el contenido y un entorno de pruebas (sandbox) que permita observar cómo se comporta un agente de IA al procesar el documento, que es precisamente lo que ofrece Adaptive Sandbox de MetaDefender Cloud .
