Las herramientas de IA generativa ya escriben fragmentos completos de sistemas en producción, y buena parte de ese código funciona exactamente como debería desde la primera ejecución, sin generar ningún error visible para quien lo está probando. Estudios recientes muestran que una parte relevante de ese mismo código contiene fallos de seguridad que pasan desapercibidos precisamente porque el programa sigue funcionando sin presentar ningún síntoma.
El riesgo que se discute de forma más inmediata es técnico: brechas de seguridad que un asistente puede introducir sin que nadie las detecte a primera vista. Jean Pierre Lessa e Santos Ferreira, especialista en tecnología, software e inteligencia artificial, señala que existe un segundo riesgo, menos calculado por los equipos, relacionado con la forma en que las personas pasan a revisar lo que entrega la IA.
¿Qué cambia cuando el código pasa a ser sugerido por la IA?
Antes, cada línea surgía de una decisión del desarrollador, que ya llevaba consigo el razonamiento sobre por qué escribirla de esa manera y elegir ese enfoque en lugar de otro. Con un asistente de IA, el código llega listo, y la tarea de quien programa pasa a centrarse más en evaluar una sugerencia que en construir la solución desde cero.
El cambio acelera la entrega de funcionalidades, pero también elimina una etapa de reflexión que antes se producía de manera natural durante la escritura. El fragmento sugerido parece coherente con el resto del sistema, lo que reduce la sensación de extrañeza que suele provocar una segunda lectura más atenta, sobre todo cuando los plazos del proyecto ya son ajustados.
¿Por qué el código generado por IA puede parecer correcto sin ser seguro?
Los modelos de lenguaje producen código basándose en patrones estadísticos aprendidos durante el entrenamiento, no en una comprensión real de la seguridad. Jean Pierre Lessa e Santos Ferreira señala que el sistema genera aquello que parece correcto dentro del contexto solicitado, sin saber, a menos que se le indique expresamente, que un campo de entrada necesita validación o que una consulta a una base de datos debe estar protegida contra ataques de inyección.
El resultado es un código funcionalmente correcto, pero silenciosamente vulnerable en puntos específicos, especialmente en lenguajes y patrones más antiguos, presentes en gran volumen en los datos utilizados para entrenar estos modelos. El fallo suele pasar desapercibido porque ninguna prueba funcional es capaz de señalar una brecha de seguridad que no impide que el programa funcione con normalidad.
El riesgo que queda fuera del cálculo: el exceso de confianza en la revisión
Las investigaciones realizadas con desarrolladores muestran un patrón de comportamiento preocupante: quienes utilizan asistentes de IA tienden a revisar el código con menos rigor del que aplicarían a un fragmento escrito por ellos mismos, incluso cuando aseguran, al ser preguntados, que comprueban todo con atención. La sugerencia ya preparada lleva consigo una especie de sello implícito de validación que, en la práctica, no existe.
Jean Pierre Lessa e Santos Ferreira sugiere que este es el riesgo más difícil de medir en un informe de seguridad, porque no aparece como una métrica de código, sino como un cambio sutil en el comportamiento de quien realiza la revisión. Ninguna herramienta de análisis estático puede detectar la atención que ha dejado de prestarse.
¿Cómo reducir este riesgo sin renunciar a la productividad?
Mantener el aumento de velocidad sin heredar los riesgos exige tratar cualquier fragmento generado por IA como código escrito por alguien ajeno al equipo, que debe pasar por las mismas etapas de revisión y pruebas aplicadas a cualquier otra contribución, sin excepciones por haber sido generado por una herramienta automatizada. La disciplina en la revisión importa más, y no menos, cuando el origen del código deja de ser humano.
El camino práctico implica reforzar criterios explícitos de seguridad en los prompts utilizados por el equipo, mantener herramientas de análisis automatizado ejecutándose sobre todo el código nuevo y, principalmente, preservar el hábito de la lectura crítica línea por línea. Jean Pierre Lessa e Santos Ferreira destaca que la verdadera productividad de la IA aparece cuando acelera el trabajo sin sustituir el criterio de quienes siguen siendo responsables del sistema en producción.
