De la “disrupción de la IA” a la “catalización de la IA”, la lógica de las acciones de ciberseguridad ha cambiado

La percepción del mercado sobre las industrias de IA y ciberseguridad está experimentando un cambio claro.

El 18 de agosto, BofA Securities publicó un informe en profundidad señalando que, hace unos meses, el mercado aún temía que la IA fuera a revolucionar el modelo de negocio de los proveedores tradicionales de ciberseguridad, debilitando la barrera de entrada de productos y plataformas existentes; pero con la rápida aparición de nuevos métodos de ataque como los agentes de IA, el mercado ha comenzado a notar que la IA está ampliando la superficie de ataque de las empresas, y aumentando tanto la velocidad como la complejidad de los ciberataques.

Esto implica que la relación entre la IA y la ciberseguridad está pasando de ser "disruptiva" a ser un "catalizador de demanda". A medida que las empresas implementan más profundamente la IA, aumenta la necesidad de capacidades avanzadas de seguridad para identidad, datos, endpoints y ambientes en la nube; la ciberseguridad está dejando de ser una posible víctima de la ola de IA para convertirse en una infraestructura indispensable para la implementación a gran escala de la IA.

Este cambio ya empieza a verse reflejado en los resultados del mercado. En los dos últimos meses, el ETF CIBR subió un 16,1%, el ETF HACK un 38% y el IVG un 14,9%, mientras que el S&P 500 solo aumentó un 3,6% en el mismo periodo. Al mismo tiempo, la valuación del sector de ciberseguridad se ha expandido notablemente, mostrando que los fondos están revalorizando las perspectivas de crecimiento de esta industria.

La amenaza de la IA está redefiniendo las necesidades de seguridad

Anteriormente, la preocupación del mercado por el impacto de la IA en la industria de ciberseguridad se basaba principalmente en una lógica simple: la IA baja la barrera tecnológica, y podría tanto ayudar a las empresas a hacer más eficiente su labor de seguridad, como permitir que los atacantes lancen ataques a menor costo, debilitando así el valor de los productos tradicionales de seguridad.

Sin embargo, con el rápido avance de la Agentic AI, esta lógica está cambiando. Los agentes de IA pueden ejecutar tareas en distintos sistemas, detectar vulnerabilidades de forma autónoma y operar de manera continua con supervisión humana limitada; esto está generando ataques impulsados por agentes, un nuevo riesgo prioritario para los CISOs de las empresas.

En comparación con los ciberataques tradicionales, las amenazas impulsadas por IA no solo amplían la superficie de ataque, sino que también aumentan simultáneamente la velocidad y la complejidad de los ataques. Para las empresas, cuanto más amplia sea la adopción de IA, mayor será la cantidad de identidades, permisos, datos y cargas de trabajo a gestionar. Si las capacidades de seguridad no evolucionan al mismo ritmo, la eficiencia lograda por la IA podría convertirse en un nuevo riesgo de seguridad.

Por eso, la IA está configurando un nuevo ciclo de demanda de seguridad: la IA amplía la superficie de ataque – la complejidad de los ataques aumenta – las empresas incrementan la inversión en seguridad – las empresas de ciberseguridad se benefician.

La ciberseguridad pasa de ser un “gasto defensivo” a ser “infraestructura de IA”

El cambio más importante es que el rol de la ciberseguridad está evolucionando.

Antes, la ciberseguridad se consideraba más bien un gasto defensivo dentro del presupuesto informático de las empresas, estando la valuación del sector muy influida por el ciclo macroeconómico y los presupuestos de IT corporativos. Pero en la era de la IA, la seguridad está pasando a ser un requisito esencial para expandir la adopción de IA a nivel empresarial.

Las empresas necesitan asegurarse de que los agentes de IA sean correctamente autorizados, deben controlar las identidades de máquina y los permisos de acceso, proteger los datos utilizados en los flujos de trabajo de IA y, al mismo tiempo, monitorear de forma constante la nube, los endpoints y las redes. En otras palabras, sin capacidades de seguridad adecuadas, es difícil que la estrategia de IA de la empresa pueda implementarse realmente a gran escala.

Esto hace que la lógica de demanda de la ciberseguridad pase de ser simplemente "mitigar riesgos" a "garantizar el crecimiento de la IA". Cuanto mayor sea la inversión en IA, mayor puede ser también el presupuesto potencial para seguridad.

El sector está siendo redefinido en las valuaciones

El cambio en la lógica de demanda ya se está reflejando en las valuaciones. Según datos de BofA, el múltiplo mediano de EV/ventas proyectadas para 2027 de las empresas de ciberseguridad es actualmente de alrededor de 5,8 veces, frente a solo 4,5 veces hace dos meses; la valuación promedio pasó de 7,0 a 9,0 veces.

Al mismo tiempo, los ETFs de ciberseguridad han superado claramente los rendimientos del mercado recientemente, lo que indica que los fondos están aumentando su atención en esta industria. Desde el punto de vista de la valuación, la redefinición del sector no se basa solo en una mejora de resultados a corto plazo, sino en que el mercado está reconociendo una mayor certidumbre de crecimiento para la ciberseguridad.

Si la IA sigue ampliando los activos digitales, las identidades de máquina y los flujos de trabajo automatizados de las empresas, la demanda de seguridad crecerá en consecuencia. Esto significa que el TAM de la industria de ciberseguridad a largo plazo está siendo redefinido por la IA.

La expansión de las valuaciones aún requiere validación en resultados

Sin embargo, la expansión de las valuaciones del sector también implica que el mercado exige un crecimiento futuro acorde.

BofA considera que la industria de software de ciberseguridad se encuentra actualmente en una franja de 5 a 10 veces EV/ventas, lo cual, en distintas empresas, refleja realmente su velocidad de crecimiento, capacidad de expandirse a nuevos mercados y la solidez de su modelo de negocio.

Por tanto, la demanda potenciada por la IA no implica que todas las compañías de ciberseguridad vayan a obtener el mismo nivel de prima en valuación. Solo las empresas que logren demostrar que la IA no solo trae riesgos emergentes, sino que se traduce en órdenes reales, crecimiento de ARR y un mercado servible más grande, podrán seguir siendo reconocidas por el mercado.

Esto implica que el enfoque clave para la industria ya no será “si la IA va a revolucionar la ciberseguridad”, sino “cuánta nueva demanda puede realmente aportar la IA a la ciberseguridad”.