{"id":1020,"date":"2026-05-29T12:30:57","date_gmt":"2026-05-29T12:30:57","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/29\/lo-que-revelan-2000-aplicaciones-codificadas-por-vibe-expuestas-sobre-los-limites-de-la-mayoria-de-las-pilas-de-seguridad-cyberdefensa-mx\/"},"modified":"2026-05-29T12:30:57","modified_gmt":"2026-05-29T12:30:57","slug":"lo-que-revelan-2000-aplicaciones-codificadas-por-vibe-expuestas-sobre-los-limites-de-la-mayoria-de-las-pilas-de-seguridad-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/29\/lo-que-revelan-2000-aplicaciones-codificadas-por-vibe-expuestas-sobre-los-limites-de-la-mayoria-de-las-pilas-de-seguridad-cyberdefensa-mx\/","title":{"rendered":"Lo que revelan 2000 aplicaciones codificadas por Vibe expuestas sobre los l\u00edmites de la mayor\u00eda de las pilas de seguridad \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Shadow AI sol\u00eda significar que los empleados pegaban cosas que no deber\u00edan en ChatGPT. Ahora significa algo m\u00e1s grande: empleados que crean aplicaciones completas con IA, las conectan a sistemas de producci\u00f3n y las publican en Internet abierta. Sin seguridad ni TI al tanto.<\/p>\n

El artefacto pas\u00f3 de un mensaje a un producto. La superficie de riesgo se movi\u00f3 con \u00e9l.<\/p>\n

En Los constructores de sombras<\/i> informe (cons\u00edguelo aqu\u00ed<\/a>), una nueva investigaci\u00f3n a nivel de categor\u00eda cubierta en mayo por Axios, WIRED y VentureBeat, Red Access identific\u00f3 m\u00e1s de 380.000 activos web de acceso p\u00fablico en las principales plataformas de codificaci\u00f3n de vibraciones.<\/p>\n

Aproximadamente 5.000 parec\u00edan corporativos. M\u00e1s de 2.000 de ellos ten\u00edan datos corporativos, operativos o personales confidenciales, ubicados en la web abierta, implementados sin controles de acceso b\u00e1sicos y, a menudo, otorgando acceso de administrador de forma predeterminada a cualquiera que alcanzara la URL. Seis continentes. Se examina cada industria. No se requiere explotaci\u00f3n.<\/p>\n

Dentro de las organizaciones, pasando sus auditor\u00edas mientras estas exposiciones estaban activas.<\/p>\n

La nueva Shadow AI no se trata de indicaciones. Se trata de productos.<\/b><\/h2>\n

La codificaci\u00f3n Vibe, el espacio m\u00e1s amplio de las plataformas de desarrollo impulsadas por IA donde cualquiera puede crear una aplicaci\u00f3n funcional describiendo lo que quiere, ha comprimido lo que sol\u00eda llevar meses a los equipos de ingenier\u00eda en algo que un no desarrollador puede enviar antes del almuerzo.<\/p>\n

Un gerente de marketing crea un rastreador de campa\u00f1as y lo conecta a la herramienta de BI donde se encuentran los n\u00fameros reales. Un gerente de operaciones crea un formulario de admisi\u00f3n de proveedores y lo conecta al sistema de emisi\u00f3n de boletos. Un equipo de finanzas crea un panel de preparaci\u00f3n de la junta directiva y ingresa en \u00e9l los datos de las facturas antes del viernes. Esas aplicaciones se conectan a sistemas de producci\u00f3n autorizados (CRM, ERP, herramientas de emisi\u00f3n de tickets, plataformas de BI) y con frecuencia se publican en la Internet abierta, con cualquier control de acceso que el creador haya configurado. A menudo, ninguno.<\/p>\n

Las personas que hacen esto no son maliciosas. Son empleados competentes que resuelven problemas reales m\u00e1s r\u00e1pido que su organizaci\u00f3n y hacen exactamente lo que las plataformas les invitaron a hacer. Las plataformas tampoco son villanas: ofrecen lo que pidi\u00f3 su audiencia original. Lo que no ha seguido el ritmo son las barreras t\u00e9cnicas y de comportamiento que rigen lo que sucede despu\u00e9s de la construcci\u00f3n.<\/p>\n

Esto no es Shadow IT en el antiguo sentido. La TI en la sombra estaba limitada: cuando un equipo compraba una cuenta de Trello con una tarjeta corporativa sin dec\u00edrselo a nadie, los datos se guardaban dentro de un proveedor de SaaS no autorizado, pero al menos exist\u00edan la identidad, los registros de auditor\u00eda y una superficie de gobernanza. Constructores de sombras<\/a> invertir eso. La aplicaci\u00f3n est\u00e1 dise\u00f1ada a medida, los datos se cargan a medida, las integraciones son conexiones directas a sistemas de registro de producci\u00f3n y el artefacto a menudo se publica en Internet abierto. La plataforma debajo puede ser auditada; la aplicaci\u00f3n construida sobre \u00e9l no lo es. Est\u00e1 el constructor, la plataforma y la URL. \u00bf\u00c9L? Principalmente no en la habitaci\u00f3n.<\/p>\n

Por qu\u00e9 una pila de seguridad madura todav\u00eda no tiene esto en cuenta<\/b><\/h2>\n

El reflejo de un CISO que lee los n\u00fameros anteriores es comprobar la pila. EDR est\u00e1 en ejecuci\u00f3n. DLP est\u00e1 configurado. CASB tiene licencia. Se han implementado firewall y SSE. Algunas organizaciones han agregado un navegador empresarial. Cada una de esas herramientas est\u00e1 haciendo aquello para lo que fue dise\u00f1ada. La categor\u00eda se encuentra en los espacios entre ellos.<\/p>\n

EDR ve el proceso del navegador, no la compilaci\u00f3n que contiene. Para un agente de punto final, un Shadow Builder que utiliza una plataforma de codificaci\u00f3n de vibraci\u00f3n parece una actividad de navegador normal y no maliciosa: la misma forma de telemetr\u00eda que alguien que lee las noticias. Cuando un EDR moderno o un navegador empresarial ve m\u00e1s profundamente, solo lo hace en los dispositivos que posee la organizaci\u00f3n y dentro de los navegadores que administra. Las computadoras port\u00e1tiles personales, las m\u00e1quinas de contratistas, los dispositivos BYOD y las pesta\u00f1as del navegador personal son invisibles por definici\u00f3n.<\/p>\n

DLP mira canales enumerados. Puede se\u00f1alar a un usuario que pega datos regulados en un chat de IA conocido. No puede ver una aplicaci\u00f3n codificada por vibraci\u00f3n que se conecta mediante programaci\u00f3n a una herramienta de BI aprobada a trav\u00e9s de API, moviendo datos de nube a nube, evitando f\u00edsicamente el punto final por completo.<\/p>\n

CASB se cre\u00f3 para Shadow IT, para proveedores de SaaS con identidades reconocibles. No puede distinguir f\u00e1cilmente una poblaci\u00f3n ilimitada de aplicaciones personalizadas alojadas en los subdominios de una plataforma de codificaci\u00f3n de vibraci\u00f3n de la plataforma misma. Toda la poblaci\u00f3n tiende a registrarse como un proveedor de SaaS aprobado.<\/p>\n

Firewall y SSE ven el tr\u00e1fico hacia el dominio de la plataforma pero carecen del contexto de aplicaci\u00f3n como objeto comercial. Y la mayor\u00eda de las implementaciones de SASE\/SSE son parciales; incluso las m\u00e1s maduras abandonan el problema del dispositivo no administrado<\/a> no resuelto.<\/p>\n

Ninguna de estas herramientas est\u00e1 fallando. La categor\u00eda simplemente se ubica en los espacios que la arquitectura existente deja entre capas, generando fragmentos de se\u00f1al que nunca se ensamblan en una imagen \u00fanica y gobernable.<\/p>\n

Donde la visibilidad realmente tiene que vivir<\/b><\/h2>\n

La codificaci\u00f3n vibe de un extremo a otro es un evento de sesi\u00f3n web. La compilaci\u00f3n es un evento del navegador. La concesi\u00f3n de OAuth que vincula la nueva aplicaci\u00f3n a un sistema empresarial autorizado es un evento del navegador. Los datos sobre los que se basa la aplicaci\u00f3n se mueven a lo largo de la sesi\u00f3n. La implementaci\u00f3n es un evento del navegador: la acci\u00f3n de publicaci\u00f3n que convierte la compilaci\u00f3n en una aplicaci\u00f3n activa en una URL p\u00fablica es un clic dentro de la misma pesta\u00f1a donde sucedi\u00f3 todo lo dem\u00e1s.<\/p>\n

Cada paso ocurre en la capa de sesi\u00f3n. No adyacente a \u00e9l. Dentro de \u00e9l.<\/p>\n

Por lo tanto, un control ubicado en la capa de sesi\u00f3n ve toda la ruta de construcci\u00f3n, no un fragmento de ella. La plataforma utilizada. Los sistemas corporativos conectados a \u00e9l y a trav\u00e9s de qu\u00e9 mecanismo. Los datos entran y salen. El evento de publicaci\u00f3n que coloca la aplicaci\u00f3n en Internet abierto. Atribuible a una persona espec\u00edfica y a una instancia de aplicaci\u00f3n espec\u00edfica, independientemente del navegador utilizado o de la ruta de red que tom\u00f3 el tr\u00e1fico. Y, lo que es m\u00e1s importante, independientemente de si el dispositivo es una computadora port\u00e1til corporativa o la m\u00e1quina personal de un contratista.<\/p>\n

Que hacer esta semana<\/b><\/h2>\n

Cuatro movimientos. Ninguno de ellos es una compra de tecnolog\u00eda.<\/p>\n

Comience con el descubrimiento. Pregunte directamente a los empleados qu\u00e9 han construido. La mayor\u00eda de los Shadow Builders est\u00e1n haciendo un trabajo \u00fatil y no ocultan nada; el encuadre importa. Un mensaje para toda la fuerza laboral: Si ha creado una herramienta utilizando una plataforma de desarrollo de IA, cu\u00e9ntenosla. No estamos auditando. estamos inventariando<\/i> \u2013 llega m\u00e1s lejos en la primera pasada que un memorando de pol\u00edtica o un despliegue de herramientas.<\/p>\n

Luego mapear. Para cada aplicaci\u00f3n que aparezca, capture a qu\u00e9 sistemas corporativos est\u00e1 conectada, c\u00f3mo (OAuth, clave API, carga manual \u2013 diferentes pistas de auditor\u00eda) y si es accesible p\u00fablicamente. La accesibilidad al p\u00fablico es la se\u00f1al m\u00e1s viable a corto plazo.<\/p>\n

Establecer un camino sancionado. Dale a Shadow Builders un lugar para dec\u00edrtelo. Nombre las plataformas aprobadas, defina categor\u00edas de datos aceptables y establezca un est\u00e1ndar m\u00ednimo de autenticaci\u00f3n. Menor fricci\u00f3n que la alternativa, que es que no te dicen nada.<\/p>\n

Y luego acepte que el trabajo no es un inventario \u00fanico. Se siguen creando aplicaciones codificadas en Vibe; La imagen que construyas este mes estar\u00e1 incompleta el pr\u00f3ximo mes. La postura madura es un descubrimiento continuo en la capa donde realmente ocurre la actividad.<\/p>\n

La categor\u00eda seguir\u00e1 madurando. Las plataformas seguir\u00e1n recalibrando los valores predeterminados. Ninguna de esas adaptaciones est\u00e1 terminada. La exposici\u00f3n existe en la mayor\u00eda de las empresas en este momento.<\/p>\n

Red Access es la plataforma de seguridad de capa de sesi\u00f3n sin agentes dise\u00f1ada exactamente para esto: visibilidad y gobernanza de nivel SSE en la sesi\u00f3n misma, en cualquier navegador y dispositivo, incluidos los no administrados. Implementable en horas. Solicita tu auditor\u00eda gratuita.<\/a><\/b><\/p>\n

\u00bfEncontr\u00f3 interesante este art\u00edculo? Este art\u00edculo es una contribuci\u00f3n de uno de nuestros valiosos socios.<\/span> S\u00edguenos en noticias de google<\/a>, Gorjeo<\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n