Cómo elegir al socio adecuado de IA y seguridad de aplicaciones

Louise ScullyGerente sénior de marketing de producto, seguridad de IA e inteligencia de amenazas | F5

La integración de la IA en las aplicaciones ha hecho que elegir un socio de ciberseguridad sea más difícil que nunca. Y, por desgracia, las organizaciones no pueden posponer esa decisión. Los atacantes, que también cuentan con herramientas de IA, detectan y explotan vulnerabilidades más rápido que nunca.

No faltan aplicaciones mejoradas con IA a las que atacar. Según el informe F5 2026 State of Application Strategy Report, el 98 % de las organizaciones se está preparando para la IA agéntica. Sin embargo, el 77 % de esas mismas organizaciones prevé dificultades para gestionar el acceso de los agentes de IA. Y solo el 28 % afirma haber optimizado los flujos de trabajo de los desarrolladores mediante un único punto de gestión de la IA.

Esta brecha entre la adopción de la IA y su seguridad plantea una cuestión importante: ¿cómo deben ampliar las organizaciones la seguridad de las aplicaciones para proteger aquellas que incorporan IA? Para responder a esta pregunta, conviene entender en qué ámbitos sigue siendo esencial la seguridad tradicional de las aplicaciones y en cuáles la IA introduce nuevos requisitos de seguridad.

La evolución de los fundamentos de la seguridad de las aplicaciones

La seguridad de las aplicaciones protege las aplicaciones y las API frente a vulnerabilidades, tráfico malicioso, usos indebidos y actividades no autorizadas. Durante la ejecución, las organizaciones utilizan controles como firewalls de aplicaciones web (WAF), seguridad de las API, gestión de bots y mitigación de ataques distribuidos de denegación de servicio (DDoS) para proteger las aplicaciones y los servicios que exponen.

Las arquitecturas de software modernas han hecho que estos procesos sean más complejos. Las aplicaciones actuales se componen de numerosos servicios más pequeños que se comunican mediante API. Estos servicios suelen estar distribuidos entre varios proveedores de nube pública, centros de datos locales y ubicaciones perimetrales. Cada conexión representa un posible punto de entrada para los atacantes.

La protección moderna de aplicaciones web y API (WAAP) suele integrar cuatro controles fundamentales en tiempo de ejecución:

• WAF: Inspeccionan el tráfico HTTP y HTTPS y ayudan a bloquear los ataques en la capa de aplicación antes de que lleguen a las aplicaciones.
• Seguridad de las API: Detecte y proteja las API, incluidos los endpoints ocultos y no gestionados, al tiempo que identifica actividades maliciosas o abusivas en las API.
• Gestión de bots: Distingue la automatización legítima de los bots maliciosos y ayuda a evitar el scraping, el relleno de credenciales, la apropiación de cuentas y otros abusos automatizados.
• Mitigación de DDoS: Proteja la disponibilidad de las aplicaciones frente a ataques diseñados para saturar aplicaciones y servicios.

Las aplicaciones basadas en IA introducen riesgos para los que no se diseñaron los controles tradicionales de seguridad de las aplicaciones. Protegerlas requiere algo más que añadir nuevas reglas a un WAF existente.

Los controles tradicionales de seguridad de las aplicaciones evalúan principalmente protocolos, solicitudes, código, patrones de tráfico y técnicas de ataque conocidas. La IA plantea un reto adicional: las instrucciones maliciosas pueden transmitirse mediante prompts en lenguaje natural sintácticamente válidos, por lo que los controles de seguridad también deben comprender el contexto y la intención.

Este nuevo enfoque de ataque implica que las organizaciones deben implementar controles específicos en torno a los prompts y las respuestas de la IA, los datos confidenciales, el acceso a los modelos y las interacciones con agentes y herramientas, además de regular el uso de la IA por parte de toda la plantilla.

Cómo se extiende la seguridad de las aplicaciones a la IA

Las tecnologías tradicionales de seguridad de aplicaciones siguen siendo esenciales para las aplicaciones basadas en IA, pero su función difiere de la de las soluciones de seguridad diseñadas específicamente para la IA. A continuación, explicamos cómo encajan los enfoques habituales en una arquitectura de seguridad más amplia. Para consultar una comparativa más detallada de empresas concretas y sus capacidades, haz clic aquí.

WAF nativos de la nube

Los WAF nativos de la nube siguen protegiendo la capa de aplicaciones web y API, pero la inspección tradicional de los WAF por sí sola no permite hacer frente a muchas amenazas específicas de la IA. Por ello, algunos proveedores de servicios en la nube complementan sus capacidades de WAF con servicios independientes de seguridad para la IA que inspeccionan las instrucciones y las respuestas, detectan los intentos de inyección de instrucciones y de elusión de restricciones, protegen los datos confidenciales y aplican medidas de protección específicas para la IA.

Ventajas

• Integración nativa con la infraestructura: Los WAF ofrecidos por los proveedores de servicios en la nube suelen permitir la integración nativa con el ecosistema de dicho proveedor, lo que facilita la implementación y la gestión de los firewalls.
• Integración de seguridad: Los WAF basados en la nube suelen poder integrarse con otras funciones de ciberseguridad tradicionales y basadas en IA como parte de una estrategia de defensa en profundidad. Por ejemplo, se pueden añadir fácilmente servicios de mitigación de DDoS, gestión de bots y otros servicios.
• Redes globales: Los proveedores de servicios en la nube suelen disponer de amplias redes globales, que ayudan a identificar actividades maliciosas y a reducir la latencia de las medidas de mitigación de amenazas. Además, los proveedores de servicios en la nube y los proveedores de ciberseguridad suelen contar con laboratorios de investigación que proporcionan información diaria sobre amenazas para definir las reglas del WAF.

Desventajas

• Ecosistema cerrado: Los WAF que ofrecen los proveedores de servicios en la nube protegen principalmente las aplicaciones y las cargas de trabajo de IA alojadas en sus propias nubes.
• Restricciones de implementación: Los WAF nativos de la nube no siempre son la opción adecuada para las organizaciones con entornos multinube o híbridos.
• Complejidad de la red: Cuando el tráfico se envía a través de la red de un proveedor, puede resultar difícil detectar amenazas u otros problemas de la aplicación. Por ejemplo, puede que sea necesario examinar las configuraciones de red, los ajustes de DNS, el comportamiento de la caché o la propia aplicación para determinar la causa raíz.
• Precios de pago por uso: Cuando los proveedores cobran en función del número de reglas o complementos seleccionados, puede resultar difícil prever los gastos.

Plataformas de entrega y seguridad de aplicaciones

Las plataformas de entrega y seguridad de aplicaciones ayudan a las organizaciones a entregar, optimizar y proteger de forma coherente aplicaciones y API en entornos distribuidos. Algunos proveedores están ampliando estas plataformas con funciones de pasarela de IA y seguridad de IA para gestionar el tráfico de inferencia, controlar el acceso a modelos y agentes, y aplicar controles de seguridad específicos para la IA.

Ventajas

• Flexibilidad de implementación: Algunas de estas soluciones de protección de la entrega de aplicaciones están disponibles como dispositivos locales, en la nube y en configuraciones híbridas.
• Modelo de seguridad híbrido: Estas soluciones pueden ofrecer una seguridad híbrida que combina la detección de ataques basada en firmas con un modelo de seguridad positivo, que aprende el comportamiento habitual de las aplicaciones y, a continuación, identifica anomalías.
• Seguridad multicapa: Las soluciones de protección de la entrega de aplicaciones suelen poder integrarse con otras soluciones de seguridad, como los WAF, así como con herramientas de gestión de bots, visibilidad en tiempo de ejecución, mitigación de ataques DDoS y seguridad de API.
• Integración con terceros: Algunas soluciones pueden integrarse con WAF de terceros, lo que permite a las organizaciones ampliar sus capacidades y evitar la dependencia de un proveedor.

Desventajas

• Limitaciones como solución independiente: A pesar de las integraciones con terceros, algunas soluciones son más adecuadas para equipos que ya utilizan ese proveedor para la entrega de aplicaciones. Si solo necesita seguridad, optar por estas soluciones puede generar costes excesivos y una complejidad innecesaria.
• Costes adicionales: Algunos proveedores ofrecen funcionalidades como el descubrimiento de API o los servicios gestionados únicamente como complementos de pago, lo que aumenta los costes totales.

F5 AI Security Platform

La F5 AI Security Platform integra funciones de descubrimiento, gobernanza, pruebas y protección en tiempo de ejecución para la IA empresarial. F5 Workforce AI Security ofrece visibilidad sobre el uso autorizado y no autorizado de la IA, incluidos los modelos, las herramientas, las instrucciones y los datos que utiliza el personal. F5 AI Gateway proporciona un punto de control para gestionar el acceso a modelos, agentes y herramientas de IA. F5 AI Red Team utiliza pruebas adversarias para identificar vulnerabilidades y puntos débiles en los sistemas de IA, mientras que F5 AI Guardrails aplica políticas durante las interacciones con la IA para ayudar a evitar la filtración de datos confidenciales, las actividades maliciosas y las infracciones de las políticas.

En conjunto, estas capacidades amplían la seguridad de las aplicaciones a los nuevos puntos de control introducidos por la IA. F5 AI Security Platform amplía la estrategia de F5 Application Delivery and Security Platform (ADSP) a la IA empresarial, combinando una seguridad diseñada específicamente para la IA con las capacidades consolidadas de F5 para proteger aplicaciones y API.

Características principales:

• Pruebas continuas: Red teaming detecta vulnerabilidades y las corrige automáticamente.
• Protección en tiempo de ejecución: Los equipos pueden aplicar medidas de protección para defenderse de amenazas en tiempo de ejecución, como la inyección de instrucciones y el jailbreaking.
• Creación simplificada de políticas: Las funcionalidades de lenguaje natural permiten a los equipos crear fácilmente políticas y controles personalizados.
• Seguridad de la fuerza laboral de IA: Las organizaciones pueden detectar la IA en la sombra, clasificar los flujos de trabajo según su finalidad y regular su uso mediante controles aplicables.

La plataforma AI Security es un componente esencial de F5 Application Delivery and Security Platform (ADSP), que proporciona seguridad avanzada y gestión del tráfico para aplicaciones y API. La plataforma puede implementarse en cualquier entorno y permite a las organizaciones integrar la seguridad de la IA en la seguridad de las aplicaciones sin añadir complejidad.

Preguntas frecuentes

¿Puede un WAF proteger una aplicación de IA?

Un WAF sigue siendo una parte importante de la protección de una aplicación con IA, ya que tanto la aplicación como sus API continúan expuestas a ataques web tradicionales. Sin embargo, la protección de un WAF por sí sola no aborda riesgos específicos de la IA, como la inyección de prompts, los jailbreaks, las salidas maliciosas de los modelos o el comportamiento inseguro de los agentes. Las organizaciones necesitan controles de seguridad específicos para la IA, además de la protección tradicional de las aplicaciones web y las API.

¿Cómo complementa la seguridad de la IA a la seguridad de las aplicaciones?

La seguridad de las aplicaciones protege las aplicaciones, las API y el tráfico que sustentan los sistemas de IA. La seguridad de la IA incorpora controles diseñados específicamente para la capa de IA, como pruebas de resistencia de modelos y agentes frente a ataques, la inspección de instrucciones y respuestas, la protección contra la inyección de instrucciones y las filtraciones de datos, la gestión del acceso a modelos y herramientas, y la visibilidad sobre el uso de la IA en la empresa.

¿Cómo afecta la integración de la IA a la seguridad de las aplicaciones?
Proteger las aplicaciones basadas en IA requiere algo más que añadir nuevas reglas a un cortafuegos de aplicaciones web (WAF). La seguridad tradicional de las aplicaciones y las API sigue siendo esencial, pero la IA introduce riesgos adicionales en las capas del modelo y de interacción. Las organizaciones también deben establecer medidas de protección para las instrucciones y respuestas de la IA, someter los modelos y agentes a pruebas frente a ataques, gestionar el acceso a modelos y herramientas, proteger los datos confidenciales y mantener la visibilidad sobre cómo se utiliza la IA en toda la empresa.

Obtenga más información sobre la F5 AI Security Platform.

Sobre el autor

Louise ScullyGerente sénior de marketing de producto, seguridad de IA e inteligencia de amenazas | F5

Louise Scully es directora sénior de Marketing de Producto para Seguridad de la IA e Inteligencia de Amenazas en F5. A lo largo de su carrera, ha trabajado en marketing de producto, gestión de producto, estrategia de comercialización, comunicación, liderazgo de opinión y desarrollo de categorías en los ámbitos de la seguridad de la IA y la tecnología empresarial. Antes de incorporarse a F5, Louise dirigió el área de marketing tanto en CalypsoAI como en Artomatix, contribuyendo a llevar al mercado tecnologías e investigaciones de IA.

Más artículos de Louise Scully