Proveedores de IA con vulnerabilidades críticas sin parche: así sale una de cada tres empresas del sector en la foto que Black Kite publicó el 10 de noviembre. Su grupo de investigación revisó desde fuera a 18.160 compañías de inteligencia artificial de todo el mundo, sin entrar en sus sistemas, y encontró al menos un fallo crítico abierto en los sistemas expuestos a internet del 34,2 %.
La cifra que pesa más es otra. 1.771 empresas, el 9,8 % de la muestra, cargan al menos un fallo incluido en el catálogo KEV de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA), la lista oficial de vulnerabilidades que ya se explotaron en ataques reales. No es un riesgo teórico: alguien ya usó esa misma puerta en otro sitio.
El estudio, titulado 2026 AI Supply Chain Report, midió la postura externa durante septiembre y octubre de 2026: versiones de programas expuestos, actividad de red, credenciales robadas y autenticación de correo. El correo sale mal parado. El 61,7 % de las empresas tiene DMARC ausente o mal configurado, el registro que ordena rechazar los mensajes falsificados con su dominio; con ese hueco, suplantar a un proveedor en un correo de cobro queda a un paso.
El tamaño no protege: las grandes salen peor
Cualquiera diría que una empresa grande, con equipo de seguridad, parchea rápido. Los datos cuentan lo contrario. Entre los proveedores de IA con más de 50 empleados, el 58 % arrastra una vulnerabilidad crítica abierta, el 29 % tiene credenciales de empleados en registros robados por programas espía y el 49 % supera el umbral crítico del índice de susceptibilidad a secuestro de datos de Black Kite. En las compañías que captaron más de US$250 millones de financiación, el fallo crítico sube al 69 %.
Ni la vitrina salva. La revisión separada de las 50 empresas de la lista Forbes AI 50 halló vulnerabilidades críticas en el 52 %, credenciales corporativas en registros robados en el 28 % y actividad ligada a redes de equipos infectados en el 34 %. La lectura del informe es directa: más sistemas expuestos, más entradas que cuidar, y la reputación no tapa ninguna.
Ese índice de secuestro de datos merece su propio párrafo. El 29,7 % de las 18.160 empresas quedó en el umbral crítico de 0,4 o por encima, y en el análisis de víctimas entre abril de 2025 y marzo de 2026 la franja más alta de ese índice sufrió 291 veces la tasa de ataques de la franja más baja. Straive, proveedor de Singapur de datos para entrenar modelos, apareció en febrero de 2026 en el sitio de filtraciones del grupo Qilin; su índice llevaba sobre el umbral desde noviembre de 2025.
La pieza compartida que arrastra a todos
El segundo piso del problema son los componentes que casi todos comparten. Black Kite halló 105 empresas con fallos ligados a tres herramientas de automatización e intermediación: n8n, Langflow y LiteLLM. Solo en n8n, 93 empresas exponían el fallo CVE-2025-68613, de ejecución remota de código y presente en el catálogo KEV de CISA: quien lo aprovecha puede correr órdenes dentro del servidor que conecta la inteligencia artificial con las bases de datos y los servicios de la empresa cliente.
Un caso del informe ya pasó por estas páginas: en marzo de 2026, la versión maligna de LiteLLM que robó credenciales desde PyPI estuvo 40 minutos disponible y cosechó claves de cada entorno que la instaló. Mercor, proveedor de datos de entrenamiento, la instaló, reveló la brecha el 31 de marzo y cerró su investigación en junio con un subconjunto limitado de sus casi cinco millones de expertos afectados. Sus clientes jamás eligieron LiteLLM: el riesgo les llegó dentro del paquete del proveedor.
A eso se suma el Protocolo de Contexto de Modelo (MCP), el estándar que da a las aplicaciones de inteligencia artificial acceso permanente a bases de datos y plataformas del cliente. Black Kite reunió 1.732 hallazgos en componentes MCP públicos: el 4,4 % quedó en nivel crítico y el 44,3 % en nivel alto, con la inyección de código concentrando el 51,9 % de los críticos. Ese acceso no caduca solo: queda abierto hasta que alguien lo revisa y lo recorta.
Conviene leer el informe con su letra pequeña. Black Kite vende inteligencia de riesgo de terceros, así que su negocio crece cuando las empresas vigilan a sus proveedores; eso no invalida el estudio, pero manda a tomarlo como lo que es: una medición externa, con método declarado, que marca exposición posible y no ataques confirmados. Diez fallos concentran más del 90 % de las coincidencias con el catálogo KEV, y el más repetido, HTTP/2 Rapid Reset, solo muerde donde HTTP/2 está activo: confirmado en 963 empresas.
Para una empresa de República Dominicana o de Estados Unidos que hoy paga un asistente de inteligencia artificial para ventas o atención al cliente, la pregunta útil no es qué modelo usa su proveedor, sino tres datos con fecha: cuándo parcheó por última vez los fallos del catálogo KEV, si su correo tiene DMARC en modo de rechazo y qué permisos guarda la integración dentro de sus sistemas. Quien no pueda responder eso por escrito vende inteligencia con la puerta abierta, y el 34,2 % deja claro que ese caso es el normal, no la excepción.
