El riesgo invisible: el 45 % del código generado por IA contiene vulnerabilidades críticas

La Inteligencia Artificial generativa ha transformado la velocidad del desarrollo de software con herramientas como GitHub Copilot y ChatGPT. Sin embargo, esta aceleración tiene un costo: estudios recientes, incluido el Informe de Seguridad del Código GenAI 2025 de Veracode, muestran que cerca del 45 % del código generado por modelos de lenguaje introduce vulnerabilidades asociadas con las fallas más críticas del sector.

Este reporte expone las causas, los ejemplos más relevantes y las acciones necesarias para reducir este riesgo.

Rapidez no es seguridad

El estudio de Veracode analizó código generado por más de 100 modelos a lo largo de 80 tareas reales. Los resultados muestran que, cuando no se especifican requisitos de seguridad, el 45 % de las funciones generadas contiene fallas críticas.

Vulnerabilidades más frecuentes (OWASP Top 10)

• Cross-Site Scripting (XSS - CWE-80): 86 %
• Inyección de log (CWE-117): 88 %
• Inyección SQL (CWE-89): 20 %
• Fallos criptográficos (CWE-327): 14 %

Impacto según el lenguaje

Java presenta la tasa de riesgo más alta, con más del 70 % de fallas en el código generado. Python, C# y JavaScript se ubican entre el 38 % y el 45 %.

Dos lecturas del problema

Críticos: los riesgos del "vibe coding"

Expertos como Chris Wysopal señalan que gran parte del problema proviene de:

• Dependencia excesiva en la IA sin validar requisitos de seguridad.
• Datos de entrenamiento con código funcional, pero no necesariamente seguro.
• Falsa sensación de confianza: investigaciones previas (Stanford, 2022) indican que los desarrolladores tienden a sobreestimar la seguridad del código generado con IA.

Defensores: la IA también puede proteger

Otros expertos proponen que la IA puede convertirse en un aliado para fortalecer la seguridad:

• Google desarrolla agentes como CodeMender, capaces de corregir vulnerabilidades automáticamente.
• Herramientas como SonarQube integran IA para identificar patrones complejos y evaluar el contexto de las entradas del usuario.

Recomendaciones para equipos técnicos y empresas

Para desarrolladores

• Revisión humana obligatoria: ningún fragmento generado por IA debe aceptarse sin una validación rigurosa.
• Incluir requisitos de seguridad en los prompts: sanitización de entradas, consultas parametrizadas y controles de acceso.
• Prompts diseñados para seguridad: la calidad del resultado depende de la claridad de la instrucción.

Para empresas

• Escaneos automáticos en CI/CD: incorporar SAST y SCA para analizar el código en tiempo real.
• Capacitación continua: entrenar a los equipos para identificar y corregir vulnerabilidades comunes.
• Arquitecturas multi-agente: combinar agentes generadores con agentes especializados en seguridad.

La IA acelera la escritura de código, pero también puede introducir fallas críticas si no se usa con cuidado. La supervisión humana, los controles de seguridad y la validación continua siguen siendo indispensables.

La velocidad que ofrece la IA solo es una ventaja cuando se equilibra con responsabilidad y criterios técnicos sólidos.

Imagen generada con IA
© Copyright: Natalia Jaimes