10 predicciones clave: La influencia de la IA y la seguridad desde el diseño en 2025 según Secure Code Warrior

Al mirar hacia 2025, tras un año emocionante y desafiante, la intersección entre la IA y el desarrollo de software seguirá dando forma a la comunidad de desarrolladores de maneras significativas.

Las organizaciones se enfrentan a decisiones difíciles sobre el uso de la IA para respaldar la productividad, la sostenibilidad y el retorno de la inversión en seguridad a largo plazo. En los últimos años nos ha quedado claro que la IA nunca reemplazará por completo el papel del desarrollador. Desde las asociaciones entre IA y desarrolladores hasta las crecientes presiones (y confusión) en torno a las expectativas de seguridad desde el diseño, analicemos más de cerca lo que podemos esperar durante el próximo año:
‍

Reescribiendo la ecuación de la IA: no IA en lugar del desarrollador, sino IA + desarrollador

“A medida que las empresas se ven impulsadas a tomar medidas drásticas de reducción de costos en 2025, no sorprendería a nadie que los desarrolladores sean reemplazados por herramientas de IA. Pero, tal como ocurrió cuando la IA generativa hizo su debut y ahora, con años de actualizaciones y más por venir, sigue sin ser un motor de productividad autónomo y seguro, especialmente al crear código. La IA es una tecnología altamente disruptiva con muchas aplicaciones y casos de uso asombrosos, pero no es un reemplazo suficiente para los desarrolladores humanos capacitados. Estoy de acuerdo con la predicción de Forrester de que este cambio hacia el reemplazo de humanos por IA en 2025 probablemente fracasará, especialmente a largo plazo. Creo que la combinación de IA y desarrollador tiene más probabilidades de lograrlo que la IA por sí sola”.

‍

La IA ofrece una mezcla de riesgos y oportunidades

“Durante 2025, veremos surgir nuevos casos de riesgo derivados del código generado por IA, incluidos los efectos adversos de problemas conocidos como el secuestro de alucinaciones, bibliotecas envenenadas y exploits que afectan a la cadena de suministro de software. Además, la IA se utilizará mucho más para encontrar fallos en el código, así como para escribir exploits para ellos, como acaba de demostrar Project Zero de Google. Por el contrario, creo que también veremos algunos niveles iniciales de madurez, con desarrolladores empresariales capaces de aprovechar estas herramientas en su trabajo sin añadir demasiado riesgo adicional; sin embargo, esto sería la excepción, no la regla, y dependería de que su organización mida activamente el riesgo del desarrollador y ajuste su programa de seguridad en consecuencia. En el entorno de amenazas en rápida evolución que sin duda traerá 2025, serán los desarrolladores capacitados y conscientes de la seguridad con herramientas de codificación de IA aprobadas quienes podrán producir código más rápido, mientras que los desarrolladores con poca conciencia de seguridad y habilidades generales solo introducirán más problemas, y a mayor velocidad”.

‍

Saliendo de las sombras de la [IA]

“El panorama legislativo en torno a la IA está cambiando rápidamente en un intento por seguir el ritmo de los frecuentes avances tecnológicos y su tasa de adopción. En 2025, los líderes de seguridad deben asegurarse de estar preparados para cumplir con las posibles directivas. Una combinación de lo siguiente: comprender la naturaleza de la “IA en la sombra” y luego garantizar que no se utilice en la organización, seguido del uso estricto de solo herramientas aprobadas y verificadas instaladas en los sistemas de la empresa, resultará ser lo más crítico para las organizaciones en el año venidero. Esto conducirá a una mayor evaluación del grupo de desarrollo, para comprender cómo se les debe apoyar mejor para que sigan aumentando continuamente su destreza en seguridad y la apliquen a todos los aspectos de su trabajo”.

‍

La posición de seguridad de las herramientas de IA será una medida clave para los desarrolladores

“En este momento, es un mercado libre en cuanto a herramientas de codificación impulsadas por LLM. Constantemente aparecen nuevas incorporaciones, cada una presumiendo de mejores resultados, seguridad y productividad. A medida que nos adentramos en 2025, necesitamos un estándar mediante el cual cada herramienta de IA pueda ser evaluada y medida en cuanto a su posición de seguridad. Esto incluye las capacidades de codificación, concretamente su habilidad para generar código con patrones de codificación buenos y seguros que no puedan ser explotados por actores malintencionados”.

‍

La IA dificultará la entrada de desarrolladores junior al campo

“Los desarrolladores tienen más barreras de entrada que nunca. Con fuerzas laborales híbridas y distribuidas y el nivel de habilidades requerido para los roles de nivel inicial, el listón sigue subiendo cada año para los desarrolladores junior. En 2025, los empleadores comenzarán a esperar que los desarrolladores junior ya tengan las habilidades y el conocimiento para integrar y optimizar las herramientas de IA de manera segura dentro de su flujo de trabajo cuando comiencen el puesto, en lugar de dedicar tiempo a la capacitación en el trabajo. Durante el próximo año, los desarrolladores que no aprendan a aprovechar las herramientas de IA en su flujo de trabajo de desarrollo enfrentarán consecuencias significativas para su propio crecimiento profesional y experimentarán desafíos para asegurar oportunidades laborales. Corren el riesgo de obstaculizar su ‘licencia para programar’, lo que impide su participación en proyectos más complejos, ya que la competencia segura en IA finalmente se volverá clave”.

‍

El tiempo impedirá que las organizaciones logren la seguridad desde el diseño

“Los desarrolladores necesitan tiempo y recursos suficientes para mejorar sus habilidades y familiarizarse con las herramientas y prácticas adecuadas para lograr la ‘seguridad desde el diseño’. A menos que las organizaciones obtengan el respaldo de los líderes de seguridad e ingeniería, su progreso se verá obstaculizado o estancado por completo. Cuando las organizaciones intentan reducir costos o restringir recursos, a menudo priorizan los esfuerzos de remediación inmediata sobre las soluciones a largo plazo, centrándose en herramientas de remediación multifacéticas que hacen algunas cosas simplemente ‘bien’ y todo lo demás de forma ‘mediocre’. En 2025, este desequilibrio creará una mayor disparidad entre las organizaciones que priorizan el desarrollo de software seguro y aquellas que solo quieren una solución rápida para seguir el ritmo de un panorama cambiante”.

‍

Las auditorías de seguridad de la cadena de suministro desempeñarán un papel fundamental en la mitigación de los riesgos globales

“Todos los proveedores externos y de subcontratación comenzarán a ser objeto de un mayor escrutinio. Puedes tener el mejor programa de seguridad internamente, pero si las empresas a las que subcontratas no practican la seguridad desde el diseño, todo el marco de seguridad puede verse comprometido. Como resultado, las organizaciones auditarán fuertemente sus esfuerzos de subcontratación, presionando a los líderes empresariales para que sigan estrictas pautas de seguridad y cumplimiento de la industria. En última instancia, el éxito de los equipos de seguridad depende de una visión holística de 360 grados, que incluya un enfoque unificado en toda la organización y con cualquier socio externo”.

‍

La IA será clave para «filtrar el ruido»

«Los equipos de desarrollo tienen problemas con las tasas de falsos positivos de los escáneres de vulnerabilidades. ¿Cómo pueden estar seguros de que las vulnerabilidades asignadas suponen un riesgo real? En 2025, la IA será una herramienta crucial para ayudar a los desarrolladores a «filtrar el ruido» en la corrección de código, proporcionando una comprensión más profunda del mismo. Al aprovechar el aprendizaje automático, la IA puede priorizar mejor las amenazas reales según el contexto, reduciendo el tiempo dedicado a mejorar la precisión de las alertas de seguridad. Esto permitirá a los equipos centrarse en las vulnerabilidades que realmente suponen un riesgo, mejorando la eficiencia general y permitiendo ciclos de desarrollo más rápidos y seguros».

‍

La evaluación comparativa será la solución para que las organizaciones cumplan sus objetivos de seguridad desde el diseño

«La ausencia de un estándar de seguridad será perjudicial para las organizaciones en 2025, ya que no tendrán una base clara para medir su progreso en el cumplimiento de las normas de seguridad desde el diseño. Sin un sistema de evaluación comparativa para medir cómo los equipos siguen prácticas de codificación segura, estas organizaciones corren el riesgo de introducir vulnerabilidades que podrían provocar una brecha importante. Y si ocurre, probablemente no tendrán tiempo de implementar un sistema de evaluación, sino que se verán obligadas a acelerar sus iniciativas sin haber evaluado antes la madurez de seguridad de sus equipos, exponiéndose a riesgos aún mayores».

‍

La deuda técnica a costa del código generado por IA

«No es ningún secreto que el sector ya tiene un problema enorme con la deuda técnica, y eso con el código ya escrito. Con el aumento de la dependencia ciega de los desarrolladores en código generado por IA, inherentemente inseguro, sumado a la limitada supervisión ejecutiva, la situación solo empeorará. Es muy posible que esta dinámica nos lleve a ver un aumento de 10 veces en las CVE reportadas el próximo año».

‍

Para tener éxito en 2025, las organizaciones deben estar dispuestas a introducir la IA de forma responsable y segura, junto con la formación adecuada y las inversiones en mitigación de riesgos para sus equipos de desarrollo. Dado que el próximo año se cumple el primer aniversario del compromiso de seguridad desde el diseño de CISA, las marcas que mantendrán su ventaja competitiva serán las que prioricen su enfoque de desarrollo seguro para eliminar mejor los riesgos asociados a la IA, las preocupaciones de seguridad de terceros y otras amenazas emergentes.