La codificación por vibraciones genera fallos de seguridad críticos
Un tercio de las organizaciones generó más del 60% de su código con IA en 2024. Los desarrolladores usan código de IA de forma similar al código abierto, pero los investigadores advierten de que esta práctica, llamada «vibe coding», complica y hace más peligrosa la seguridad de la cadena de suministro de software.
La IA pierde su periodo de gracia en seguridad
Los expertos señalan que la IA es su propio peor enemigo al generar código inseguro. Si el modelo se entrena con software antiguo, vulnerable o de baja calidad, todas las vulnerabilidades existentes pueden reintroducirse. Alex Zenla, de Edera, afirma que estamos llegando al punto en que la IA está a punto de perder su «periodo de gracia» en materia de seguridad.
Falta de transparencia y responsabilidad
El código de IA no es transparente. A diferencia de los repositorios como GitHub, donde se pueden rastrear las contribuciones humanas, con el código de IA no existe la misma rendición de cuentas sobre su origen o si ha sido auditado. Dan Fernandez, de Edera, subraya esta falta de trazabilidad.
Un nuevo desafío en el ciclo de desarrollo
La codificación por vibraciones introduce una complicación adicional más allá del código abierto. Eran Kinsbruner, de Checkmarx, explica que solicitar el mismo modelo de LLM para el mismo código fuente produce ligeras variaciones cada vez. Esto fragmenta los mecanismos fundamentales de seguridad y responsabilidad.
Impacto desproporcionado en los más vulnerables
La facilidad de uso de estas herramientas conlleva el peligro de crear exposición de seguridad en las situaciones más sensibles. Alex Zenla advierte de que las implicaciones de seguridad impactarán de forma desproporcionada a quienes menos pueden permitírselo, como pequeñas empresas o poblaciones vulnerables.
Antecedentes: La eficiencia con un coste oculto
Los desarrolladores no escriben cada línea de código desde cero, sino que utilizan bibliotecas existentes, a menudo de código abierto, para ser eficientes. La codificación por vibraciones se utiliza de forma similar, permitiendo generar código rápidamente para adaptarlo, pero esta eficiencia crea falta de visibilidad en el software.
Cierre: Aprendiendo de los errores del pasado
Jake Williams, de Hunter Strategy, señala que el material generado por IA ya existe en las bases de código. La implicación es clara: la industria puede aprender de los avances en la seguridad de la cadena de suministro de software de código abierto o no hacerlo y sufrir las consecuencias.
