Las vulnerabilidades en la nube se cuadruplicaron en nueve meses y el informe de Datadog lo deja en una cifra incómoda: un servicio en la nube cargaba una mediana de 4 vulnerabilidades altas o críticas en febrero de 2026 y carga 16 en noviembre.
El dato sale de la edición 2026 de State of Cloud Security, el estudio que Datadog publicó este 10 de noviembre con la postura de seguridad de miles de organizaciones en Amazon Web Services (AWS), Microsoft Azure y Google Cloud.
No son fallos de laboratorio: son huecos en aplicaciones reales, y la mediana esconde la mitad fea, porque la mitad de los servicios carga más de 16 sin corregir.
Datadog bautizó la oleada como Vulnpocalypse, la avalancha de vulnerabilidades que desataron los modelos de inteligencia artificial con capacidad de auditoría de código, entre ellos Claude Mythos de Anthropic, GLM-5.2 y Kimi K3.
Esos modelos revisan bibliotecas enteras en horas y encuentran fallos que un equipo humano tardaba semanas en cazar. El hallazgo llega al registro público de vulnerabilidades y exposiciones comunes (CVE, por sus siglas en inglés); de ahí pasa a cualquier atacante con una lista de objetivos.
Google Cloud estimó que el 44,5 % de los incidentes en la nube del primer semestre de 2026 empezó con un atacante explotando una vulnerabilidad de software. Casi la mitad ya no entra robando una contraseña: entra por un hueco publicado.
El problema práctico para los equipos es el volumen. Cada CVE nuevo exige decidir si afecta al servicio propio, priorizarlo frente a otros 15 y cerrar la ventana antes de que alguien la use: la propia casa ya describió ese agotamiento al hablar de la seguridad en la nube y la fatiga por alertas que agota a los analistas.
Las claves que no mueren abren más puertas que un fallo sin parche
Datadog dedica su segundo golpe a las credenciales de larga vida, esas claves que se crean un día y siguen activas años después, olvidadas en una canalización de despliegue o en la configuración de una aplicación.
Más de una de cada cinco organizaciones usa servicios de inferencia alojados en la nube, como Amazon Bedrock, Azure Foundry o la plataforma de Gemini de Google Cloud. Casi la mitad de las que usan Gemini trabaja con claves de API de larga vida.
En Amazon Bedrock, solo el 17 % usa claves propias del servicio. En Azure es peor: Foundry crea claves de larga vida por defecto al dar de alta el recurso y el 97 % no cambia ese comportamiento.
La antigüedad completa el cuadro: la proporción de usuarios con claves de más de tres años ronda el 30 % en AWS Identity and Access Management (IAM) y el 29 % en las cuentas de servicio de Google Cloud, y sube desde 2024 en ambas.
Herramientas de equipo rojo como Pacu, Pathrunner —de la propia Datadog— y el escáner de secretos TruffleHog encuentran esas claves con permisos excesivos a gran escala. La misma caja queda al alcance de un atacante autónomo, que busca primero las credenciales viejas: dan acceso largo y silencioso.
La recomendación del informe de Datadog es directa: llegar a los servicios de inteligencia artificial con la identidad corta de la propia carga —un rol IAM, una identidad administrada o una cuenta de servicio— y no con una clave estática que nadie rota.
Un bot pasó 10 días probando proyectos abiertos y entró en casi todos
El otro frente es la cadena de suministro de software (las bibliotecas de terceros que incorpora una aplicación), que corre a una velocidad que el informe mide con otro dato difícil de digerir: el 60 % de las organizaciones ejecuta versiones de dependencias publicadas menos de 24 horas antes.
Esas versiones aparecen en el 21 % de las aplicaciones en la nube. Una carga de trabajo suma 149 dependencias de promedio y una organización completa llega a 568; más de la mitad son transitivas, es decir, llegan arrastradas por otras bibliotecas y el equipo ni las eligió.
En el ecosistema npm, el gestor de paquetes de JavaScript, el 86 % de las dependencias son transitivas. Una biblioteca secuestrada puede colarse en miles de servicios antes de que la comunidad reaccione, y programas maliciosos como Shai-Hulud ya traen código para robar credenciales de la nube.
Datadog contó además un ensayo real de ese riesgo: un bot que se firmaba hackerbot-claw pasó 10 días sondeando proyectos de código abierto, entre ellos uno de la propia empresa, y logró ejecutar código en la mayoría de sus objetivos y tomar un repositorio entero.
GitHub Actions, la plataforma de automatización de despliegues, mide la defensa que sí funciona: el 54 % de las organizaciones autentica sus flujos contra AWS con credenciales cortas vía OpenID Connect (OIDC, el estándar de identidad federada), frente a un 22 % en Google Cloud y un 5 % en Azure.
Para las dependencias, la receta propuesta es una pausa deliberada: esperar unas horas o días antes de adoptar una versión recién publicada, porque la comunidad suele detectar y contener una biblioteca secuestrada en las primeras horas.
La mediana de 16 vulnerabilidades en la nube por servicio no bajará porque los modelos dejen de buscar: bajará cuando parchear, rotar claves y frenar dependencias tome menos horas que encontrar el hueco, y ese pulso, con los números de Datadog en la mano, hoy lo va ganando quien ataca.
Fuente: Datadog
