Empresas de IA con una vulnerabilidad crítica sin parche: una de cada tres. Black Kite revisó desde fuera a 18.160 empresas de IA de todo el mundo y encontró fallos críticos abiertos en el 34,2 %, con datos de septiembre y octubre de 2026.
Datos clave: 18.160 empresas evaluadas sin entrar a sus sistemas.
Fallo explotado ya en ataques reales: 1.771 empresas, el 9,8 %.
Riesgo de ransomware en nivel crítico: 29,7 %.
Correo corporativo con DMARC débil o ausente: 61,7 %.
El informe, publicado este 10 de noviembre, mide lo que cualquier atacante ve desde internet: programas expuestos, credenciales robadas, actividad de red rara y permisos que cada producto guarda en los sistemas de sus clientes. Black Kite dejó claro el límite: exposición potencial, no empresas ya invadidas.
Ferhat Dikbiyik, director de investigación de Black Kite, resumió el hallazgo con una frase citada por Unite.AI: «La cadena de suministro de la IA no está fallando de maneras exóticas. Está fallando de maneras ordinarias». Parcheo tardío, correo mal configurado y contraseñas filtradas.
El dato que más pesa sale del catálogo KEV de la Agencia de Ciberseguridad de Estados Unidos (CISA), que lista fallos con explotación confirmada en ataques reales: 1.771 proveedores de IA cargan al menos uno, y el 84 % de ese grupo carga exactamente uno.
PHP2Shell llegó a 939 empresas en una semana
PHP2Shell muestra la velocidad del problema. Dos fallos en PHP, CVE-2026-109618 y CVE-2026-109619, quedaron corregidos el 21 de octubre, y una semana después los escaneos marcaban versiones afectadas en 939 empresas de IA, el 5,2 %.
Taiwán marcó 9,9 % y China 8,6 %; Estados Unidos, 3,4 %. Un componente compartido reparte el mismo hueco por todo el ecosistema, como ya contó en octubre la vulnerabilidad crítica en PHP que apagó páginas en cadena.
El ransomware ocupa el segundo bloque. El índice RSI de Black Kite mide desde fuera las condiciones que ponen a una empresa en el radar de las bandas de extorsión, con umbral crítico en 0,4. El 29,7 % de las empresas de IA quedó en ese nivel o por encima.
El 11,5 % marcó 0,6 o más, frente al 4,6 % a 10,3 % de los sectores de referencia. En el análisis de víctimas de abril de 2025 a marzo de 2026, la banda más alta de ese índice cargó una tasa de ataques 291 veces mayor que la más baja.
El 44,3 % mostró desviaciones fuertes frente a su propio comportamiento de red. El 6,8 % tenía credenciales en registros de programas ladrones, más de 18.600 en total, y el 6,5 % direcciones vinculadas a redes de equipos infectados; con un fallo KEV, ese indicador sube al 14,7 %.
El correo, la puerta más vieja, sigue abierto. DMARC falta o está mal configurado en el 61,7 % de las empresas; DKIM falla en el 37,3 % y SPF en el 11,2 %. Suplantar el dominio de un proveedor pequeño cuesta poco así.
Crecer no arregla el cuadro, lo agranda. Entre las empresas con más de 50 empleados, el 58 % carga una vulnerabilidad crítica sin parche, el 29 % tiene credenciales en registros de robo y el 49 % supera el umbral crítico de ransomware.
Entre las que han levantado más de US$250 millones, el fallo crítico llega al 69 %. Por región: 54,5 % en China frente a 28,7 % en Estados Unidos. Ni la vitrina salva: en la lista Forbes AI 50, el 52 % carga un fallo crítico abierto.
El riesgo entra por el componente y por el permiso
La segunda capa mira los componentes internos. En marzo de 2026, atacantes publicaron versiones maliciosas de LiteLLM, herramienta de código abierto que reparte peticiones entre modelos, en PyPI. El paquete estuvo disponible 40 minutos y robó credenciales de cada entorno que lo instaló.
Mercor, proveedor de datos de entrenamiento, lo había instalado: reveló la intrusión el 31 de marzo y su investigación cerró en junio con datos de una parte reducida de sus cerca de cinco millones de expertos. Sus clientes nunca eligieron LiteLLM.
La tercera capa son los permisos. El Protocolo de Contexto de Modelo (MCP) da a las aplicaciones de IA una vía estándar para consultar bases de datos y actuar en plataformas de negocio. Black Kite revisó 305 entradas públicas de servidores MCP de 179 empresas y contó 1.732 hallazgos: 4,4 % críticos y 44,3 % altos.
De los críticos, el 51,9 % era inyección de código y el 35,1 % inyección de comandos: los fallos que dejan ejecutar órdenes por la conexión que la herramienta guarda dentro del cliente.
El robo de credenciales sigue el tipo de trabajo: proveedores en la nube 19,9 %, empresas de datos y etiquetado 13,9 %, plataformas de atención al cliente 11,5 % y desarrolladores de modelos 4,1 %. Quien trabaja más dentro del cliente es quien más credenciales pierde.
Para una empresa hispana que contrata IA esta semana, la lectura práctica es directa: antes de firmar, toca preguntar por el parcheo del proveedor, por sus credenciales filtradas y por cada permiso que su producto pedirá dentro de casa. El proveedor típico no es un gigante de modelos: es una firma pequeña con acceso grande.
Black Kite no publicó la lista de empresas con cada hallazgo: ningún cliente puede saber si su proveedor está en ese 34,2 %. La comprobación queda en manos de cada comprador.
Fuente: Black Kite
