Hasta no hace mucho escribir código implicaba horas de esfuerzo manual. Hoy, una simple instrucción puede hacer el mismo trabajo en segundos.
El “vibe coding” -donde los desarrolladores piden a la IA que genere código– ha crecido en popularidad en los últimos meses. Para muchos, el atractivo es innegable. Lanzamientos más rápidos, mayor eficiencia y la capacidad de innovar a gran velocidad. Pero a medida que delegamos ese proceso a las máquinas, las implicaciones van mucho más allá de la productividad. Porque el código no es solo una funcionalidad, es una vulnerabilidad en potencia.
Si aumenta el código generado por IA, también lo hace el volumen de brechas que pueden afectar a una organización. Lo que antes podía ser un error humano, ahora puede generarse de forma sistemática y a escala.
Según estudios de Armis Labs, el 100 % de los principales modelos generativos de IA no lograron producir código seguro, en una variedad de escenarios de desarrollo. Incluso Gemini y Claude generaron resultados vulnerables en más del 30 % de los casos, mostrando brechas en áreas como la autenticación, el manejo de archivos y la gestión de memoria.
Pero el riesgo no está solo en el propio código. A medida que los componentes generados por IA y de terceros se integran más profundamente en los flujos de trabajo, las organizaciones dependen de resultados que no han validado completamente.
Esto genera una ruptura entre la seguridad percibida y la real. El 77% de las organizaciones confía en la integridad del código de terceros en sus aplicaciones más críticas, mientras que la misma proporción cree que el código asistido por IA es revisado exhaustivamente en busca de vulnerabilidades de alta gravedad, a pesar de que muchas carecen de una visibilidad completa sobre cómo se produce o evalúa este código.
Las preocupaciones siguen siendo altas en torno a la fiabilidad de los modelos; desde alucinaciones en grandes modelos de lenguaje hasta errores de automatización que son difíciles de detectar. Incluso los grandes proveedores de cloud han sufrido incidentes relacionados con vulnerabilidades de codificación que podrían haber desencadenado en una interrupción generalizada de sus servicios.
Por lo tanto, el código se está generando más rápido de lo que puede verificarse. Cada función, integración o dependencia generada supone una posible vía de explotación por los atacantes. Además, la conectividad entre aplicaciones, entornos y cadenas de suministro puede crear una amplia red de riesgos cada vez más difícil de mapear y comprender.
Aquí es donde los enfoques tradicionales de seguridad de aplicaciones se quedan cortos. Los modelos heredados de AppSec se pensaron para un desarrollo más lento y predecible, donde el código se solía escribir, revisar e implementar en etapas controladas. Sin embargo, el desarrollo nativo de IA presenta una generación continua, una iteración rápida y un volumen de código en constante crecimiento.
Actualmente los equipos de seguridad gestionan los problemas aislados, aunque el riesgo siga aumentando en la cadena de suministro de software. En lugar de centrarse en escanear cada posible fallo, las organizaciones necesitan entender qué vulnerabilidades son prioritarias. Esto implica conocer qué áreas tienen más probabilidades de ser explotadas, qué sistemas quedarían afectados y cómo. La seguridad de aplicaciones debe evolucionar desde el simple escaneo hacia una verdadera gestión de la exposición cibernética, para comprender su contexto y su impacto empresarial.
Este cambio se está volviendo cada vez más urgente, ya que el código generado por la IA continúa creciendo. Las herramientas tradicionales ya tienen dificultades para seguir este ritmo, por lo que las organizaciones deben avanzar hacia una comprensión más contextual, que refleje cómo se desarrolla y despliega el software.
En definitiva, el verdadero desafío al que se enfrentan los equipos de seguridad no es sólo el número de vulnerabilidades, sino también cómo se relacionan las aplicaciones, los componentes y sus entornos. Lo esencial es saber si las organizaciones pueden confiar en las máquinas que escriben su código, y también cómo gestionan el riesgo de forma integral. En este nuevo panorama, la seguridad se basa en comprender dónde existe la exposición y qué impacto tiene en el negocio.
La fotografía que ilustra esta noticia pertenece a Daniil Komov y ha sido publicada en Unsplash