De la "disrupción de la IA" a la "catalización de la IA", la lógica de las acciones de ciberseguridad ha cambiado

La percepción del mercado sobre la industria de la IA y la ciberseguridad está experimentando un claro cambio.

Bank of America Securities publicó el 18 de agosto un informe en profundidad señalando que, hace unos meses, el mercado aún temía que la IA pudiera trastocar el modelo de negocio de las empresas tradicionales de ciberseguridad, debilitando el foso defensivo de los productos y plataformas existentes; pero con la rápida aparición de nuevos métodos de ataque como los agentes de IA, el mercado empieza a darse cuenta de que la IA está ampliando la superficie de ataque de las empresas y aumentando tanto la velocidad como la complejidad de los ciberataques.

Esto significa que la relación entre la IA y la ciberseguridad está pasando de ser un "disruptor" a un "catalizador de demanda". Cuanto más profundamente aplican las empresas la IA, mayores se vuelven los requerimientos en seguridad para la identidad, los datos, los endpoints y los entornos cloud, convirtiendo a la ciberseguridad de una potencial víctima de la ola de la IA en una infraestructura imprescindible para la adopción masiva de la IA.

Este cambio ya ha comenzado a reflejarse en el rendimiento del mercado. En los últimos dos meses, el ETF CIBR ha subido un 16,1%, el ETF HACK ha subido un 38%, y el IVG ha subido un 14,9%, mientras que al mismo tiempo el índice S&P 500 solo subió un 3,6%. Al mismo tiempo, la valoración del sector de ciberseguridad también ha tenido una expansión notable, mostrando que el capital está reevaluando las perspectivas de crecimiento de esta industria.

Las amenazas de la IA están redefiniendo las necesidades de seguridad

Las preocupaciones previas del mercado sobre el impacto de la IA en la industria de la ciberseguridad provenían principalmente de una lógica simple: la IA reduce las barreras técnicas, podría ayudar a las empresas a realizar trabajos de seguridad de manera más eficiente, pero también podría permitir que los atacantes lancen ataques a menor coste, debilitando así el valor de los productos de seguridad tradicionales.

Pero con el rápido desarrollo de Agentic AI, esta lógica está cambiando. Los agentes de IA pueden ejecutar tareas a través de sistemas, identificar vulnerabilidades de manera autónoma y operar de manera continua con supervisión humana limitada, dando lugar a "ataques impulsados por agentes", un tipo de riesgo emergente que se ha convertido en un foco importante para los CISO empresariales.

En comparación con los ciberataques tradicionales, las amenazas impulsadas por la IA no solo amplían la superficie de ataque, sino que también incrementan la velocidad y la complejidad de los ataques. Para las empresas, cuanto más ampliamente desplieguen IA, más identidades, permisos, datos y cargas de trabajo necesitan gestionar. Si las capacidades de seguridad no se actualizan al mismo ritmo, las mejoras de eficiencia impulsadas por la IA pueden convertirse en nuevos riesgos de seguridad.

Por lo tanto, la IA está creando un nuevo bucle de demanda de seguridad: IA amplía la superficie de ataque — aumenta la complejidad de los ataques — las empresas incrementan las inversiones en seguridad — los proveedores de ciberseguridad se benefician.

La ciberseguridad pasa de "gasto defensivo" a "infraestructura de IA"

El cambio más importante es que el papel de la ciberseguridad está evolucionando.

Anteriormente, la ciberseguridad se consideraba mayormente un gasto defensivo dentro del presupuesto de TI de las empresas, y la valoración del sector era fácilmente influenciada por el ciclo económico y el ciclo presupuestario de TI empresarial. Pero en la era de la IA, la seguridad está convirtiéndose poco a poco en un requisito esencial para la expansión de las aplicaciones de IA en las empresas.

Las empresas necesitan asegurar que los agentes de IA sean correctamente autorizados, controlar las identidades y permisos de las máquinas, proteger los datos en los flujos de trabajo de la IA, así como monitorear continuamente el entorno cloud, endpoints y redes. En otras palabras, sin suficientes capacidades de seguridad, la estrategia de IA de la empresa difícilmente puede escalarse realmente.

Esto hace que la lógica de demanda de la ciberseguridad pase de simplemente "mitigar riesgos" a "asegurar el crecimiento de la IA". Cuanto mayor sea la escala de inversión en IA, mayor será el potencial de aumento en el gasto en seguridad.

La valoración del sector está siendo reevaluada

El cambio en la lógica de demanda ya se hace evidente en las valoraciones. Según datos de Bank of America, la mediana del EV/Ventas 2027 de las empresas de ciberseguridad es actualmente de aproximadamente 5.8 veces, cuando hace apenas dos meses era de 4.5 veces; la valoración promedio se amplió de 7.0 a 9.0 veces.

Al mismo tiempo, los ETF de ciberseguridad han superado claramente al mercado, lo que indica que el capital está aumentando su interés en esta industria. Desde la perspectiva de la valoración, el núcleo de la revalorización del sector no es simplemente una mejora de los resultados a corto plazo, sino que el mercado empieza a otorgar una mayor certeza de crecimiento a la ciberseguridad.

Si la IA sigue expandiendo los activos digitales, las identidades de máquinas y los flujos de trabajo automatizados de las empresas, la demanda de seguridad también se expandirá. Esto significa que el TAM a largo plazo de la industria de ciberseguridad está siendo redefinido por la IA.

La expansión de la valoración aún necesita la validación de resultados

Sin embargo, la valoración del sector ya se ha expandido notablemente, lo que también implica que las expectativas de crecimiento futuro del mercado han aumentado en consecuencia.

Bank of America considera que la valoración actual del sector de software de ciberseguridad se sitúa aproximadamente en un rango de 5 a 10 veces EV/Ventas, y las diferencias de valoración entre empresas reflejan esencialmente la velocidad de crecimiento, la capacidad de expansión a nuevos mercados y la certidumbre del modelo de negocio.

Por lo tanto, el catalizador de demanda impulsado por la IA no significa que todas las empresas de ciberseguridad vayan a obtener el mismo nivel de prima en valoración. Las verdaderas empresas que continúan obteniendo reconocimiento del mercado necesitarán demostrar que la IA no solo trae nuevos riesgos de seguridad, sino que también puede convertirse en pedidos reales, crecimiento en ARR y un mayor mercado de servicios.

Esto también significa que, en adelante, el punto central de observación del sector pasará de "¿la IA trastocará la ciberseguridad?" a "¿cuánta demanda adicional puede aportar realmente la IA a la ciberseguridad?".