A las 2:14 p.m. de un martes, un empleado hace clic en un enlace. Desde la perspectiva del stack de seguridad, no ocurrió nada: un proceso del navegador abrió una conexión HTTPS, el certificado era válido, el destino no estaba marcado y no se dispararon detecciones. Sin embargo, dentro de la sesión del navegador se desarrollaba una historia diferente. La página cargó un CAPTCHA que pedía al usuario presionar Windows+R, pegar algo del portapapeles y ejecutarlo. Lo pegado era un script shell que se ejecutó con los privilegios del usuario, como una acción deliberada. El EDR vio un shell ejecutándose bajo un usuario autenticado, indistinguible de un script de administración, pero algo significativo había ocurrido: algo presente en todos los registros y ausente en todas las interpretaciones.

El navegador como nuevo sistema operativo

El sistema operativo tradicional sigue ahí, pero por encima ha surgido un entorno de operación dentro del navegador que alberga la mayor parte del trabajo real. El navegador ha absorbido las cinco funciones que definían un endpoint: cómputo, almacenamiento, E/S, identidad y comunicación. Hoy, estas funciones están distribuidas en servicios en la nube, con el navegador como runtime que las une. Es un segundo sistema operativo crecido sobre el primero, donde ahora vive el trabajo, pero la seguridad nunca se trasladó a esa capa, creando así la brecha.

La capa opaca (el punto ciego del navegador)

Cada herramienta del stack de seguridad ve algo real pero parcial: SASE ve conexiones y tráfico; la seguridad de correo ve mensajes y URLs; EDR ve el comportamiento externo de Chrome.exe. Ninguna puede ver el interior del uso continuo del navegador. Esa capa opaca es donde comienzan la mayoría de los incidentes basados en navegador que observa Keep Aware, y es el hilo conductor de su informe 'Estado de la Seguridad en Navegadores 2026'.

El supuesto de identidad que se rompe

La opacidad sería manejable si se pudiera confiar en quién actúa dentro del navegador, pero ya no es así. Los modelos de seguridad asumían que una vez autenticado, las acciones se atribuían al usuario. Ese supuesto falla porque extensiones, scripts pegados y agentes de IA operan dentro de la misma sesión usando los mismos tokens. La atribución ya no implica agencia, y sin agencia, la identidad pierde gran parte de su utilidad como control.

La IA no introdujo el riesgo, eliminó la ilusión

Es tentador ver a la IA como la fuerza disruptiva, pero la capa opaca existe desde antes, explotada por kits de phishing y secuestro de sesiones. Lo que cambió es que antes se podía asumir que había un humano leyendo la página y tomando decisiones. Los agentes de IA eliminan ese supuesto a una velocidad que hace que las forenses posteriores sean irrelevantes. La pregunta ya no es si un usuario tomó una decisión, sino si se tomó alguna decisión y quién la tomó.

Dónde sigue existiendo el significado

Al bajar en el stack, cada capa pierde la capacidad de resolver significado. El tráfico cifrado oculta el contenido; el sistema operativo ve un solo proceso; los proveedores de identidad dejan de observar una vez emitido el token. El único lugar donde la imagen completa sigue existiendo es la interfaz misma, el momento donde algo interactúa con el sistema de forma observable como comportamiento, no solo como salida. Es el último lugar donde coexisten intención, contexto y acción, lo que lo convierte en el nuevo plano de control para la seguridad.

El cambio que sigue

Cada cambio importante en la computación ha forzado a la seguridad a realinearse: servidores llevaron a seguridad de red; endpoints llevaron a EDR; identidad llevó a cero confianza. Ahora el trabajo se mudó al navegador y aún estamos alcanzándolo. Cerrar la brecha significa tratar al navegador no como una aplicación que gestionar, sino como el entorno de ejecución donde se produce el significado y donde debe vivir la gobernanza. Esto replantea las preguntas: no si un usuario tomó una acción, sino si entendió en qué actuaba; no si se accedió a datos, sino cómo y por qué; no si una identidad era válida, sino si el actor detrás era el esperado.

Keep Aware aborda este problema llevando detección, gobernanza y respuesta al propio navegador, donde vive el trabajo y el riesgo. Su informe 'Estado de la Seguridad en Navegadores 2026' desglosa los principales desafíos que enfrentan los equipos de seguridad dentro del navegador, con datos de entornos empresariales reales.

Curious how this works in practice? Request a demo to see how Keep Aware gives your team visibility and control at the interface layer.

Acerca del autor: Boerner, ingeniero informático convertido en profesional de ciberseguridad, comenzó como analista SOC enfrentando amenazas de red. Se especializó en seguridad de red y correo en IBM y Darktrace. Al ver una brecha crítica entre los equipos de seguridad y los empleados, fundó Keep Aware para hacer del navegador una piedra angular de la seguridad empresarial.