Proteger una cuenta de inteligencia artificial también exige controlar las sesiones que quedan abiertas. Un informe de ESET advirtió sobre ataques que aprovechan esos accesos para ingresar sin conocer la contraseña. Para las empresas, las consecuencias pueden incluir la exposición de información confidencial y el consumo no autorizado de servicios pagos.

Las medidas recomendadas apuntan a reducir cuánto tiempo pueden aprovecharse los permisos robados. El análisis de SOCRadar propone centralizar el acceso mediante un inicio de sesión único, establecer sesiones breves y renovar sus identificadores. También aconseja limitar y cambiar periódicamente las claves API, utilizadas para conectar aplicaciones con los servicios de IA, y detectar ingresos desde lugares inusuales o fuera del horario laboral.

Si la cuenta de un empleado aparece en registros de información robada, la respuesta debe incluir la investigación del equipo involucrado. El informe recomienda abordar esa situación como un incidente de seguridad del dispositivo: cambiar la contraseña puede resultar insuficiente si el atacante conserva una sesión válida. Otro paso es identificar qué cuentas de IA se utilizan dentro de la organización sin conocimiento de sus responsables.

El mecanismo comienza con programas maliciosos llamados infostealers, capaces de extraer cookies y tokens de computadoras con Windows o Mac. Esos identificadores permiten mantener una cuenta abierta sin ingresar las credenciales en cada visita. Cuando alguien los roba y reutiliza, el servicio puede reconocerlo como un usuario ya autenticado y no volver a solicitar la verificación en dos pasos.

SOCRadar identificó 5.434 registros asociados con 1.500 direcciones distintas de correo corporativo y 482 empresas durante el período de 90 días que examinó. La exposición también afecta al contenido guardado: las conversaciones pueden contener código, contratos o información de clientes que los empleados incorporaron a sus consultas.

Las conexiones con otros servicios amplían el alcance del problema. Una sesión comprometida en una plataforma de automatización como Zapier puede permitir accesos a correo, archivos y sistemas de gestión de clientes. Por otra parte, el robo de claves API permite ejecutar tareas de IA cuyo costo recae sobre la víctima.

¿Qué controles aplicás para proteger tus cuentas y la información que compartís con herramientas de inteligencia artificial?