El código generado por IA ha convertido la deuda de seguridad en un problema de gobernanza
El código generado por IA es parte del desarrollo de software cotidiano. Los desarrolladores lo utilizan para crear prototipos, refactorizar, solucionar problemas y pasar de la idea a la implementación con menos fricción que nunca. Las ganancias de productividad son innegables, lo que significa que los líderes de seguridad ahora enfrentan una pregunta difícil: si sus organizaciones pueden controlar el riesgo que crea la IA a esa misma velocidad.
Ese desafío tiene sus raíces en la escala. La IA cambia la rapidez con la que se puede crear software, mientras que muchos programas de seguridad de aplicaciones todavía dependen de controles diseñados para un modelo de desarrollo más lento. Cuando la generación de código se acelera más allá de la capacidad de revisar, probar y solucionar problemas, la deuda de seguridad se acumula más rápido.
Ése es el costo oculto del desarrollo asistido por IA. El riesgo ahora ingresa a la empresa a la velocidad de la máquina, mientras que muchas organizaciones todavía lo gestionan con procesos a escala humana. Los CISO deben gobernar el código generado por IA como una entrada de alto riesgo: probado automáticamente, verificado para detectar dependencias inseguras, remediado rápidamente y bloqueado de producción si falla la política.
La métrica que importa es la velocidad del riesgo
La seguridad de las aplicaciones se ha medido durante mucho tiempo mediante el descubrimiento. Los equipos cuentan las vulnerabilidades, categorizan la gravedad, informan tendencias y muestran si las cifras están mejorando. Esas preguntas siguen siendo importantes, pero la IA añade una métrica más urgente: la velocidad del riesgo. Los líderes de seguridad necesitan saber qué tan rápido la organización crea nuevos riesgos de software y qué tan rápido puede reducirlos o eliminarlos.
La IA cambia la economía de la deuda de valores. Un equipo de desarrollo que produzca una cantidad significativamente mayor de código sin un aumento correspondiente en la capacidad de seguridad creará más problemas de los que razonablemente puede revisar o solucionar. Incluso cuando el código generado por IA es comparable al código escrito por humanos línea por línea, el riesgo total puede aumentar porque el volumen de cambio es mayor. El atraso crece, las vulnerabilidades persisten y la deuda de seguridad acaba limitando el negocio.
La IA amplía los modos de fallo familiares
Los modos de falla son familiares. Las herramientas de codificación de IA pueden reproducir patrones inseguros que se encuentran en los datos de entrenamiento, incluida una validación de entrada débil, flujos de autenticación inseguros, referencias directas a objetos inseguros, secretos codificados y opciones de dependencia vulnerables. También pueden pasar por alto el contexto que determina si el código es seguro en un entorno específico: modelos de autorización, límites de inquilinos, sensibilidad de los datos, configuraciones de producción y cómo interactúan los servicios en una aplicación real.
También hay un factor humano. Bajo la presión de los plazos, los desarrolladores pueden aceptar código que funciona sin entender completamente cómo lo hace. El resultado es una confianza fuera de lugar. El código se compila, las pruebas pasan, las características se envían y el riesgo oculto ingresa al sistema. Con el tiempo, la organización puede perder de vista los problemas de seguridad que surgieron naturalmente durante el desarrollo del manual.
El riesgo de la cadena de suministro es mayor que el código mismo
La cadena de suministro de software añade otra capa de riesgo. Las aplicaciones modernas se ensamblan a partir de componentes, marcos, complementos, contenedores, API y servicios en la nube de código abierto. Las herramientas de codificación de IA pueden recomendar paquetes obsoletos, bibliotecas vulnerables o dependencias inexistentes. El informe GenAI Code Security 2025 de Veracode encontró que las herramientas de codificación de IA producen código inseguro casi la mitad (45%) de las veces. Puede parecer una alucinación divertida hasta que los atacantes registran paquetes maliciosos con nombres similares y esperan a que los desarrolladores o las herramientas automatizadas los extraigan. En ese punto, un atajo de codificación se convierte en una exposición de la cadena de suministro.
La IA ya forma parte del ciclo de vida del desarrollo y su uso seguirá ampliándose. Los equipos de seguridad necesitan un modelo de control diseñado para esa realidad.
El “cambio a la izquierda” necesita una capa de aplicación de la ley
La industria ha pasado más de una década adelantando la seguridad en el ciclo de vida de desarrollo, mejorando la visibilidad y ayudando a los equipos a detectar problemas antes. Sin embargo, muchas organizaciones acercaron los hallazgos a los desarrolladores sin trasladarles también suficiente propiedad, automatización y capacidad de remediación. Los desarrolladores recibieron más alertas, mientras que los equipos de seguridad obtuvieron más visibilidad de los riesgos que aún luchaban por reducir.
La IA hace que esa brecha operativa sea más urgente. A medida que aumenta la producción de software, la seguridad no puede seguir siendo un punto de control cerca del final del proceso. Debe convertirse en un sistema de control continuo integrado en la forma en que se crea, prueba, aprueba e implementa el software.
La seguridad por diseño debe convertirse en infraestructura
La seguridad por diseño en la era de la IA requiere un entorno de ingeniería donde las decisiones inseguras sean más difíciles de tomar y más fáciles de detectar. Los marcos aprobados, los valores predeterminados seguros, las arquitecturas de referencia, los controles de dependencia, las pruebas automatizadas y la aplicación de políticas deben integrarse directamente en los flujos de trabajo de los desarrolladores y en los canales de CI/CD.
La remediación también debe acercarse al punto de creación. Cuando un asistente de codificación introduce un patrón vulnerable, la respuesta ideal es una solución en línea que se propone, valida y gobierna como parte del proceso de desarrollo normal. La IA puede ayudar a los defensores en este caso cuando está conectada a señales de seguridad confiables, contexto político y evidencia de pruebas reales. Contrariamente a la intuición, los desarrolladores que utilizan la IA para escribir código a menudo no confían en la IA para corregir el código automáticamente sin una revisión humana. Esto toma una de las mejores formas de mantenerse al día con las vulnerabilidades creadas a la velocidad de la máquina y reducirla a la velocidad humana. Es necesario encontrar un equilibrio aceptable entre riesgo y velocidad.
La aprobación no es gobernanza
Los CISO deberían centrarse en la gobernanza, no sólo en aprobar herramientas de codificación de IA. Gobernanza significa rastrear dónde ingresa el código generado por IA a su entorno, documentar las políticas y pruebas aplicadas, registrar qué problemas se encontraron y solucionaron y mantener pruebas de estas decisiones. Esta documentación se vuelve crítica a medida que el desarrollo asistido por IA se vuelve estándar. Si el código vulnerable llega a producción, deberá demostrar que se implementaron controles adecuados y que los riesgos se gestionaron de acuerdo con la política.
¿Qué deberían hacer los líderes ahora?
Los CISO y los líderes de ingeniería deben tratar el código generado por IA como si no fuera de confianza hasta que se demuestre lo contrario. Deben exigir pruebas automatizadas antes del lanzamiento, hacer cumplir controles de dependencia, priorizar la remediación en función de la explotabilidad y el impacto comercial, y medir el éxito según la velocidad a la que se reduce el riesgo crítico.
Además, las juntas directivas y los responsables de la formulación de políticas organizacionales deberían preguntarse si las organizaciones pueden demostrar que el software asistido por IA está gobernado antes de su implementación. La evidencia clave debe incluir las políticas aplicadas, las pruebas realizadas, las vulnerabilidades remediadas, los riesgos aceptados y las aprobaciones registradas. Hoy en día, muchas organizaciones pueden realizar un seguimiento con confianza de lo que producen sus herramientas de IA, pero no pueden demostrar cómo se aseguró, revisó y gobernó ese resultado antes de llegar a producción. La industria todavía está trabajando para cerrar esta brecha.
La IA está cambiando la rapidez con la que el riesgo de software se mueve en la empresa. Las organizaciones que tengan éxito harán que la seguridad avance con la misma rapidez al incorporar la gobernanza, la corrección y las pruebas directamente en el proceso de entrega de software.
