La inteligencia artificial ayuda hoy a los desarrolladores a escribir código, detectar errores, generar pruebas y construir sistemas complejos con mayor rapidez. Al mismo tiempo, también puede ayudar a los atacantes a descubrir debilidades, automatizar ataques y operar a una escala que antes era difícil de alcanzar.

La Comisión Europea destacó este doble papel en su Plan de Acción sobre Ciberseguridad e Inteligencia Artificial de julio de 2026. La IA puede ayudar a detectar vulnerabilidades y proteger infraestructuras críticas, pero los actores maliciosos también pueden utilizarla para identificar puntos débiles y realizar operaciones cibernéticas a una velocidad y escala sin precedentes. Comisión Europea

Por tanto, la IA no es por naturaleza una defensora ni una amenaza. El resultado depende de quién la utilice, de cómo lo haga y de si alguien asume realmente la responsabilidad por el producto final.

El Sitio Web que Cambió mi Forma de Ver el Software Generado con IA

Hace poco estaba buscando en internet un producto que quería comprar. Un sitio web concreto aparecía una y otra vez en mis resultados de Google. Después de verlo varias veces, decidí abrirlo.

Había algo familiar en él. Los colores, la distribución de los componentes y el estilo visual general se parecían a los de muchos productos creados rápidamente con herramientas de IA. Por supuesto, eso no demostraba nada por sí solo. No es posible determinar de forma fiable cómo se construyó un sitio únicamente por su diseño. Aun así, fue la primera señal que llamó mi atención.

Mientras recorría la página, el sitio devolvió inesperadamente un error 500 Internal Server Error. Una acción normal de navegación parecía haber provocado un fallo en el servidor.

Eso me hizo pensar: ¿se habría lanzado este producto mediante un proceso apresurado de vibe coding?

Empecé a investigar la empresa y su equipo técnico mediante información disponible públicamente. Parecía haber una gran compañía detrás de la plataforma, pero los perfiles públicos que encontré indicaban que algunos integrantes del equipo de desarrollo aún estaban en una etapa relativamente temprana de sus carreras.

El problema no son los desarrolladores junior. Todo ingeniero senior fue junior alguna vez. El verdadero problema es poner a un equipo con menos experiencia al frente de un sistema sensible sin suficiente supervisión técnica, revisión de código y controles de seguridad.

“Funciona” No Significa “Es Seguro”

Como desarrollador, revisé desde una perspectiva de seguridad parte del comportamiento públicamente accesible del sitio. Presté especial atención a áreas como la carga de archivos, la validación de entradas y la forma en que parecían procesarse las solicitudes.

Durante esa revisión limitada identifiqué tres problemas críticos de seguridad y otros dos de gravedad media. Si alguien hubiera abusado de las debilidades críticas, podría haber causado una interrupción grave e incluso dejar el servicio fuera de línea.

La situación era aún más preocupante porque la plataforma también trabajaba con procesos de pago e información sensible de clientes. En un sistema así, un error aparentemente pequeño puede convertirse en un riesgo mucho mayor para personas reales.

No intenté explotar los problemas más allá. Documenté lo que había observado y lo comuniqué a los administradores del sitio. El objetivo de una investigación de seguridad responsable no es causar daño, sino dar a la organización afectada una oportunidad justa para comprender y corregir el problema.

La experiencia me dejó una conclusión duradera: un sitio nuevo no es automáticamente confiable solo porque tenga un aspecto profesional, aparezca bien posicionado en Google o pertenezca a una gran empresa.

¿Cuándo se Vuelve Peligroso el Vibe Coding?

El vibe coding es una forma de desarrollar software describiendo en lenguaje natural el resultado deseado y dejando que la IA genere una parte importante de la implementación. Puede ser excelente para prototipos, proyectos personales y pruebas de nuevas ideas.

El peligro comienza cuando los desarrolladores despliegan código generado que no comprenden o verifican por completo.

Imaginemos que alguien pide a un asistente de IA que cree una función para subir archivos. El modelo puede generar un código que parece funcionar. Pero si la solicitud y el proceso de revisión no contemplan los tipos de archivo, límites de tamaño, ubicación de almacenamiento, autorización, contenido malicioso y gestión de errores, el resultado puede ser funcional sin ser seguro.

Esta distinción es importante. La funcionalidad pregunta si el camino esperado funciona. La seguridad pregunta qué ocurre cuando alguien decide tomar deliberadamente el camino equivocado.

La guía de OWASP para programación asistida por IA recomienda revisar de forma independiente áreas críticas como autenticación, autorización, validación de entradas y operaciones criptográficas. También advierte que las pruebas generadas por IA no deben considerarse una demostración de que el código generado por IA es seguro. Lo más importante es que cada cambio asistido por IA tenga un responsable humano encargado de su corrección, seguridad y mantenimiento. OWASP Secure Coding with AI

Dicho de forma sencilla:

La IA puede escribir código rápidamente, pero no puede asumir la responsabilidad por lo que ese código haga.

Cómo Puede Defendernos la IA

Utilizada con cuidado, la IA puede convertirse en una poderosa asistente de ciberseguridad. Puede ayudar a los equipos a:

analizar grandes volúmenes de registros;
detectar comportamientos inusuales de usuarios o redes;
identificar patrones sospechosos en el código fuente;
clasificar mensajes de phishing y archivos maliciosos;
resumir incidentes complejos para los equipos de seguridad;
priorizar vulnerabilidades y acelerar la respuesta a incidentes.

En manos de un profesional experimentado, la IA reduce el trabajo repetitivo y deja más tiempo para investigaciones profundas. No reemplaza la experiencia en seguridad; la amplifica.

Cómo Crea Nuevos Riesgos la IA

Las mismas capacidades también están disponibles para los atacantes. La IA puede ayudarles a:

escanear grandes cantidades de sitios en busca de debilidades comunes;
personalizar mensajes de phishing a gran escala;
generar y modificar código malicioso con mayor rapidez;
crear perfiles a partir de información pública sobre empresas y empleados;
automatizar partes de un ataque que antes exigían más tiempo y conocimientos.

La IA no tiene que inventar un tipo de ataque completamente nuevo. Su efecto más inmediato es reducir el coste y aumentar la velocidad de técnicas que ya existen. Un mismo método puede probarse ahora contra miles de sistemas mucho más rápido que antes.

Esto resulta especialmente peligroso cuando el software atacado también fue producido con rapidez, poca revisión y fundamentos de seguridad débiles.

El Verdadero Problema Es el Proceso, No la Herramienta

No creo que el vibe coding sea malo por naturaleza. El problema no es utilizar IA para escribir código. El problema es aceptar su resultado sin comprenderlo.

Un proyecto de producción asistido por IA debería incluir, como mínimo, las siguientes medidas:

Revisión humana de cada cambio de código significativo.
Controles específicos de autenticación, autorización y validación de entradas.
Pruebas de seguridad para cargas de archivos, API y funciones relacionadas con pagos.
Análisis automático de dependencias, secretos y seguridad estática dentro de CI/CD.
Gestión de errores que no exponga detalles internos del sistema.
Una revisión de seguridad independiente o prueba de penetración antes de lanzamientos sensibles.
Un desarrollador claramente identificado como responsable de cada cambio generado por IA.

NIST plantea la gestión de riesgos de IA como un ciclo continuo y no como una lista de comprobación puntual. Su marco organiza este trabajo en cuatro funciones: gobernar, mapear, medir y gestionar. La confiabilidad y la seguridad deben considerarse durante el diseño, desarrollo, despliegue, uso, prueba y evaluación; no añadirse cuando el producto ya está en producción. NIST AI Risk Management Framework

Una Gran Empresa No Es Garantía de Seguridad

Los usuarios suelen basarse en señales como la marca, la posición en buscadores, el acabado visual o el tamaño de la empresa para decidir si confían en un sitio web. Esas señales pueden decir algo sobre marketing y visibilidad, pero muy poco sobre la seguridad con la que se desarrolló el software.

Las preguntas importantes son menos visibles:

¿Revisó el código alguien que realmente lo entendía?
¿Se incorporaron los requisitos de seguridad desde el principio?
¿Se prueban de forma independiente las funciones sensibles?
¿Dispone la empresa de un proceso de divulgación responsable?
¿Quién responde cuando falla el código generado por IA?

Una seguridad sólida rara vez es visible en una captura de pantalla. Existe en el proceso de ingeniería que hay detrás de la interfaz.

Conclusión

La inteligencia artificial es una herramienta extraordinariamente capaz, pero su impacto depende de las manos que la guían. Un desarrollador experimentado puede utilizarla para construir más rápido sin sacrificar calidad ni seguridad. Alguien sin los fundamentos necesarios puede utilizar la misma herramienta para crear una aplicación de aspecto impecable, pero peligrosamente frágil por dentro.

Mi experiencia con aquel sitio me enseñó a no confundir presentación con confianza. Una interfaz profesional, una buena posición en Google y el nombre de una empresa conocida no garantizan una ingeniería segura.

La pregunta más importante ya no es:

¿Escribió la IA este código?

La pregunta que deberíamos hacernos es:

¿Quién revisó este código y quién es responsable de su seguridad?

La IA puede acelerar el desarrollo, pero la seguridad sigue necesitando responsables. Únete a la lista de espera de Vexlint para descubrir cómo ayudamos a los desarrolladores a revisar código generado por IA antes de que sus vulnerabilidades lleguen a producción.