La adopción acelerada de la inteligencia artificial (IA) está generando una nueva grieta de seguridad en el ámbito corporativo: las APIs. Este es el principal hallazgo del informe «2026 Apps, APIs, and DDoS State of the Internet» de Akamai, que pone de relieve cómo las organizaciones están centrando más inversión en automatización e IA sobre una capa que está bajo presión ofensiva constante. De acuerdo con Akamai, asegurar la inteligencia artificial es ahora sinónimo de asegurar las APIs.
Este aviso no se basa simplemente en percepciones intuitivas. La compañía expone que los atacantes han profesionalizado sus métodos, combinando el abuso de APIs, ataques a aplicaciones web y ataques DDoS de capa 7 en campañas coordinadas, repetibles y relativamente económicas. Ya no se trata solo de provocar intrusiones mediáticas, sino de degradar el rendimiento, elevar los costos de infraestructura y explotar la automatización de IA a gran escala.
El informe revela cifras impactantes que ilustran el cambio en el panorama de amenazas: los ataques DDoS de capa 7 aumentaron un 104% en los dos últimos años, el 87% de las empresas experimentó al menos un incidente de seguridad relacionado con APIs en 2025, los ataques a aplicaciones web subieron un 73% entre 2023 y 2025, y el promedio diario de ataques a APIs se incrementó un 113% interanual.
Akamai interpreta estos datos como una clara señal de que las aplicaciones y las APIs no pueden gestionarse como problemas separados. Tratar la seguridad web por un lado y la seguridad de APIs por otro genera vacíos de visibilidad justo donde el atacante busca continuidad entre autenticación, lógica de negocio y disponibilidad.
Uno de los aspectos más destacados del informe es la transición de ataques tradicionales hacia amenazas centradas en el comportamiento. No se trata solo de explotar una vulnerabilidad técnica aislada, sino de abusar de flujos legítimos, automatizar peticiones y trabajar la infraestructura hasta hacer que la lógica de negocio se convierta en un vector de ataque. Esta perspectiva se alinea con la tesis principal del estudio: donde se concentra la inversión en transformación digital e IA, el riesgo le sigue de cerca.
El auge del «vibe coding» también es un tema central. Akamai advierte que el uso intensivo de IA para generar código está introduciendo vulnerabilidades y configuraciones incorrectas que a menudo llegan a producción sin pruebas suficientes. No se trata de que la IA cree una categoría completamente nueva de fallos, sino que amplifica debilidades existentes y acelera su llegada a entornos reales.
A este desafío se suma la evolución del mercado DDoS. Akamai atribuye gran parte del aumento del 104% en ataques de capa 7 al fácil acceso a botnets de alquiler y scripts asistidos por IA que reducen la barrera para lanzar ataques. Menciona la presencia de «superbotnets» como Aisuru y Kimwolf, derivadas de la arquitectura de Mirai, como parte de ecosistemas de DDoS como servicio utilizados por grupos criminales y hacktivistas.
El informe también aborda el fenómeno más amplio de la expansión de la IA agéntica. Akamai señala que las vulnerabilidades de los sistemas agentic están ampliando la superficie de ataque y se refiere al nuevo marco de OWASP Top 10 for Agentic Applications 2026, que identifica riesgos específicos para agentes capaces de actuar de manera autónoma.
En términos prácticos, para cualquier organización que esté implementando copilots, agentes internos o automatización conectada a sistemas reales, proteger la API exige más que un simple WAF. Es vital revisar la autenticación, los límites de uso, el abuso de workflows, la exposición de datos sensibles y el control sobre qué herramientas o acciones puede invocar un agente.
El informe de Akamai deja claro que muchas empresas consideran la seguridad de la IA como un problema nuevo y separado, cuando, en realidad, una parte esencial del riesgo está en componentes conocidos: las APIs y las aplicaciones web. La diferencia ahora es que todo esto está siendo explotado con más automatización, escala e impacto económico. La recomendación es reforzar los fundamentos de seguridad antes de asumir que los problemas se resolverán solo con nuevas capas de seguridad específicas para la IA.
Más información y referencias en Noticias Cloud.
