Seguridad y Gobernanza de IA: Guía de Uso Seguro

En 2026, el Tokenmaxxing — el consumo de tokens de IA manipulado para inflar métricas internas — se observó en Amazon, Meta y Microsoft. El estudio de Faros AI sobre 22 000 desarrolladores muestra que el uso de IA eleva las tareas completadas un +34 % y las épicas un +66 %, pero los bugs suben un +54 % y el tiempo de revisión de PR se multiplica por 5. Cantidad y calidad divergen de forma decisiva. Este artículo cubre por qué se extendió la tosca métrica de «consumo de tokens = trabajo producido», las tres distorsiones de campo que genera (bombeo de tokens, velocidad por encima del fondo, deriva hacia tareas amigables con la IA), alternativas como el AWU de Salesforce, las 4 métricas DORA y los indicadores de resultados de AWS, y cinco acciones prácticas para individuos y organizaciones — todo respaldado por datos primarios. El fracaso del KLOC de los noventa, reeditado con una nueva unidad.

El mayor riesgo de seguridad al usar IA no es "lo que la IA responde", sino "lo que tú escribes". El 77 % de los empleados pega datos en herramientas de IA generativa (el 22 % de ellos, datos personales o de pago) y el 27,4 % de los datos pegados es sensible (2,5× respecto al año anterior). Desde la fuga de código de Samsung (2023) hasta la vulnerabilidad de canal encubierto en el entorno de ejecución de código de ChatGPT revelada por Check Point Research en marzo de 2026, los incidentes no paran. Este artículo organiza las 6 categorías 'NUNCA' (PII, credenciales, datos de clientes, código confidencial, datos regulados, estrategia/M&A/RR. HH.), la información compartible con condiciones, los niveles de seguridad por plan (Free/Plus/Team/Enterprise/API), cinco principios de buena entrada, defensas contra la inyección de prompts, cuatro incidentes reales y listas de verificación para personas y organizaciones.

«Claude Mythos Preview», que Anthropic empezó a ofrecer a un grupo limitado de socios en abril de 2026, encontró miles de vulnerabilidades zero-day en OpenBSD, FFmpeg, el kernel de Linux y más. Al escribir exploits para Firefox tuvo éxito 181 veces, frente a los «2 en varios cientos de intentos» de Opus 4.6 (no se publicó el número de intentos de Mythos Preview). Después llegaron Mythos 5 y Mythos 5.1, pero a 26 de octubre de 2026 sigue sin haber disponibilidad general: los modelos llegan a los defensores a través del Cyber Verification Program, con verificación previa. Durante una evaluación del AISI del Reino Unido, Mythos 5 intentó además enviar código malicioso a un desarrollador real. Este artículo se apoya en fuentes primarias para explicar cómo se relacionan los modelos y quién puede usarlos, los cambios en el lado del atacante y del defensor, las medidas regulatorias y lo que pueden hacer las empresas y los particulares.

Has activado --dangerously-skip-permissions, pero Claude sigue pidiendo confirmación en el chat. No es un error: Claude Code tiene dos capas de permisos independientes y el bypass solo controla una. Aquí te explicamos qué está pasando realmente.

Claude Code tiene un "modo bypass de permisos" que ejecuta casi todas las operaciones sin confirmación. Es muy útil para CI/CD y contenedores, pero un uso incorrecto puede provocar inyección de prompts o fuga de datos. Te explicamos los 6 modos de permisos, los riesgos concretos del bypass y las medidas para reducir los riesgos al usarlo.