Uno de tus empleados acaba de pegar el borrador de un contrato con un cliente clave en una herramienta que cree que es ChatGPT. No lo es. Es un clon con un dominio casi idéntico, diseñado para capturar exactamente ese tipo de información. Ese dato ya no está bajo tu control. Y tú no te has enterado de nada.

Este es el vector de ataque más silencioso y de mayor crecimiento en entornos corporativos ahora mismo: las falsas herramientas de Inteligencia Artificial. No necesitan explotar ninguna vulnerabilidad técnica de tu red. Solo necesitan que un empleado confíe en una URL que se parece mucho a la real.

Qué es un clon de IA y por qué es tan difícil de detectar

Los clones de herramientas como ChatGPT, Claude o Gemini son webs o aplicaciones que imitan con precisión la interfaz de los productos legítimos. Funcionan, responden, parecen útiles. Pero en paralelo, todo lo que el usuario escribe, pega o sube se almacena, se vende o se redirige a quienes han montado el engaño.

El mecanismo de distribución más habitual es el typosquatting: registrar dominios con errores tipográficos mínimos o variaciones de marca (chatgp.com, claude-ai.app, openai-tools.net) que se posicionan en buscadores mediante anuncios de pago o SEO agresivo. Un empleado que no teclea la URL de memoria, sino que busca en Google "entrar a ChatGPT", puede aterrizar en uno de estos sitios sin que ninguna alerta visible le avise.

El problema no es que tus empleados sean descuidados. Es que el clon está diseñado específicamente para que no haya diferencia visible con el original. Ese es el trabajo del atacante.

El segundo vector son las extensiones de navegador maliciosas. Se distribuyen en la Chrome Web Store o en repositorios de terceros bajo nombres como "Asistente IA para productividad" o "GPT para empresa". Una vez instaladas, actúan como un proxy entre el usuario y la herramienta legítima: interceptan los prompts antes de que lleguen a los servidores de OpenAI o Anthropic, los copian y los envían a un servidor externo bajo control del atacante. El empleado usa ChatGPT de verdad y ni sospecha que sus conversaciones están siendo exfiltradas.

Qué datos están saliendo de tu empresa ahora mismo

El problema real no es el ataque en sí: es lo que los empleados escriben en estas herramientas porque nadie les ha dicho que no deben hacerlo. En ausencia de una política de uso de IA corporativa, es habitual encontrar en auditorías de seguridad que los equipos han utilizado herramientas IA externas para trabajar con:

  • Contratos con clientes, proveedores y socios comerciales con datos económicos y cláusulas de confidencialidad.
  • Código fuente propietario para debuggear, refactorizar o documentar.
  • Datos personales de empleados o clientes (nóminas, listados de RRHH, bases de CRM) para generar informes o automatizar tareas.
  • Estrategias comerciales, presupuestos internos y pipelines de ventas.
  • Credenciales o fragmentos de configuración de sistemas internos pegados por error junto con el código.

Cualquiera de estos elementos enviado a un clon de IA o a una herramienta no auditada constituye una brecha de datos con implicaciones directas bajo el Reglamento General de Protección de Datos (RGPD). Si esos datos incluyen información personal de empleados o clientes, la obligación de notificación a la AEPD y el riesgo de sanción son inmediatos.

Aviso crítico

El "Shadow AI" (el uso no autorizado y no controlado de herramientas de IA por parte de los empleados) es la nueva versión del Shadow IT de la era del cloud. Y como ocurrió entonces, cuando las empresas tomaron conciencia del problema, los datos ya habían salido. No esperes a que ocurra lo mismo con la IA. Una auditoría de uso de herramientas externas en tu red puede revelarte en días qué está saliendo, por dónde y quién lo está enviando.

La anatomía del ataque: cómo opera un clon de IA contra una empresa

Para entender por qué las soluciones genéricas no funcionan aquí, es necesario ver cómo se articula el ataque desde el punto de vista técnico.

Fase 1: Captura de tráfico mediante proxy inverso

Los clones más sofisticados no son webs estáticas: actúan como un proxy inverso frente a la API real de OpenAI o Anthropic. Reciben la consulta del usuario, la reenvían a la API legítima, devuelven la respuesta real al usuario y, en paralelo, almacenan tanto el prompt como la respuesta en sus propios sistemas. El usuario recibe una respuesta correcta, no detecta ningún fallo. El ataque es completamente transparente para la víctima.

Fase 2: Exfiltración silenciosa mediante extensiones

Las extensiones maliciosas de navegador tienen permisos para leer el contenido de todas las pestañas abiertas (un permiso que muchos usuarios conceden sin leer). Esto les permite capturar no solo los prompts escritos en la herramienta IA, sino también el contenido de otras pestañas abiertas simultáneamente: tu ERP, tu CRM, correos corporativos o paneles de administración. Todo eso puede estar siendo leído y enviado fuera de tu red en este momento.

Fase 3: Prompt injection en entornos de IA integrados

Si tu empresa ya ha integrado IA en flujos de trabajo internos (automatizaciones, agentes, copilotos), aparece un tercer vector: la inyección de prompts. Un atacante puede insertar instrucciones maliciosas en documentos que el sistema IA procesa de forma automática (un email, un PDF adjunto, un ticket de soporte). Si el agente IA tiene acceso a sistemas internos, esas instrucciones pueden redirigirlo para exfiltrar datos, ejecutar acciones no autorizadas o eludir controles de acceso.

Por qué el antivirus y el firewall básico no frenan este ataque

La razón técnica es simple: el tráfico hacia un clon de IA es HTTPS, está cifrado y se origina desde el propio navegador del usuario. Para un firewall perimetral sin capacidad de inspección SSL/TLS, ese tráfico es indistinguible de una consulta legítima a cualquier servicio web. No hay malware que detectar, no hay exploit que bloquear. El atacante no entra en tu red: es tu red la que envía los datos hacia fuera.

Esto es exactamente lo que hace que el vector sea tan efectivo y tan subestimado: no activa ninguna alarma convencional. Solo una solución con inspección profunda de contenido, filtrado de DNS y control de aplicaciones web puede detectar que un usuario está accediendo a un dominio no sancionado que imita una herramienta legítima de IA.

Cuando el ataque usa el navegador del usuario como canal, el perímetro tradicional ya no existe. La defensa tiene que estar en la capa de identidad, en la capa de aplicación y en la política de uso. No en el router.

La arquitectura defensiva: cómo blindar el uso corporativo de la IA

Contener el riesgo del Shadow AI y los clones de herramientas no requiere prohibir la IA en la empresa, algo que sería inviable y contraproducente. Requiere gobernar su uso con las mismas capas de control que aplicas a cualquier otro activo crítico de tu red.

1. Filtrado de DNS y categorización de dominios

Un sistema de filtrado DNS con categorización actualizada permite bloquear dominios de typosquatting conocidos y restringir el acceso a herramientas IA a una lista blanca de dominios sancionados por la empresa. Si un empleado intenta acceder a claude-ai.app en lugar de claude.ai, la resolución DNS no se completa y el acceso no ocurre. Es la primera línea de defensa y una de las más efectivas porque actúa antes de que el tráfico siquiera se establezca.

2. NGFW con inspección SSL/TLS y control de aplicaciones

Un firewall de nueva generación configurado para interceptar y analizar el tráfico cifrado (con los certificados raíz correctamente distribuidos en los endpoints) puede identificar patrones de comunicación con dominios sospechosos aunque estén bajo HTTPS. El motor de control de aplicaciones puede distinguir entre el acceso legítimo a ChatGPT y el acceso a un clon, aplicando políticas diferenciadas: permitir uno, bloquear el otro y registrar el intento.

3. CASB para control del Shadow AI

Un Cloud Access Security Broker (CASB) se sitúa entre los usuarios y los servicios cloud para dar visibilidad completa sobre qué herramientas externas están usando, qué datos están enviando y con qué frecuencia. Es la herramienta diseñada específicamente para el problema del Shadow IT y del Shadow AI: no solo bloquea, también registra y alerta, lo que te permite tener evidencias ante una brecha y demostrar due diligence frente a la AEPD.

4. DLP en el endpoint y en el correo

Las soluciones de Data Loss Prevention (DLP) en el endpoint pueden detectar cuando un usuario copia o pega patrones de datos sensibles (números de cuenta, DNIs, fragmentos de contratos con patrones específicos) en cualquier aplicación, incluido el navegador. Si un empleado pega un listado de clientes en una web de IA no sancionada, el DLP puede bloquear la acción, registrarla y generar una alerta para el equipo de seguridad.

5. Política de uso de IA corporativa y formación

Ninguna capa técnica funciona sin la capa humana. Una política de uso de IA corporativa define qué herramientas están sancionadas, qué tipos de datos nunca deben enviarse a sistemas externos (ni a los legítimos, si no existe un contrato de procesamiento de datos adecuado) y cuál es el procedimiento ante una sospecha de uso indebido. Sin esta política, tus controles técnicos tienen grietas que ningún firewall tapa.

Aviso

Muchas empresas que ya usan ChatGPT Teams o Claude for Work creen que por estar en el plan de pago "sus datos están protegidos". Eso solo es cierto si los empleados acceden exclusivamente a través de los dominios y aplicaciones corporativas sancionadas, con las cuentas correctamente gestionadas bajo el tenant de empresa. Si un empleado accede con su cuenta personal desde el mismo dispositivo corporativo, las conversaciones no están bajo tu política de retención ni bajo tu control. El plan corporativo protege el canal, no el comportamiento.

El argumento del coste: cuánto vale realmente la información que está saliendo

El argumento más habitual para no invertir en controles de uso de IA es que "la gente usa estas herramientas para ser más productiva y no quiero frenarla". Es un argumento legítimo. Y tiene una respuesta técnica directa: los controles que se acaban de describir no frenan la productividad, la canalizan. El empleado sigue usando la IA. La empresa sabe qué herramientas usa, con qué datos y puede garantizar que el acceso es a plataformas que no van a usar esos datos para entrenar modelos o para revenderlos.

La pregunta real no es si puedes permitirte implementar estos controles. Es si puedes permitirte no implementarlos cuando el código fuente de tu producto, la base de datos de tus clientes o las condiciones de tu próxima licitación están siendo procesados por sistemas fuera de tu control.

Una brecha de datos no te cuesta solo la sanción de la AEPD. Te cuesta la conversación con el cliente cuyo contrato salió, el tiempo de respuesta ante el incidente, el coste de la investigación forense y, en muchos casos, la confianza que tardaste años en construir.

Qué deberías hacer esta semana

Antes de implementar cualquier control técnico, necesitas saber dónde está el problema real en tu organización. Eso significa hacer dos cosas concretas:

  • Auditar el tráfico web saliente de tu red en busca de accesos a herramientas IA no sancionadas, extensiones de navegador instaladas en dispositivos corporativos y dominios con patrones de typosquatting relacionados con IA.
  • Revisar las políticas de permisos de extensiones en todos los navegadores corporativos gestionados. Si no tienes gestión centralizada de extensiones, ese es el primer problema que resolver.

Si no tienes visibilidad sobre ninguna de estas dos cosas, significa que tampoco tienes visibilidad sobre lo que está saliendo. Y en ciberseguridad, lo que no ves no puedes protegerlo.

Si quieres saber exactamente qué herramientas de IA están usando tus empleados, qué datos podrían estar saliendo y cómo implementar una arquitectura de control que no frene la productividad de tu equipo, puedo hacer ese análisis contigo. El primer paso es una auditoría de exposición. Contacta con Javier Alonso y lo vemos.