La IA puede escribir y revisar código, pero los humanos siguen siendo responsables del riesgo

El lanzamiento de Claude Code Security por parte de Anthropic marca un punto de inflexión decisivo entre el desarrollo de software asistido por IA y la rápida evolución de nuestra forma de abordar la ciberseguridad moderna. Aunque esta nueva capacidad de Claude puede identificar vulnerabilidades en el código generado por IA, esto crea un punto único tanto de confianza como de fallo, y un humano cualificado debe evaluar esos hallazgos y determinar la ruta de remediación adecuada. Este enfoque cuenta con el respaldo de figuras como Justin Greis, CEO de la consultora Acceligence, quien declaró a CSO Online: “Para aquellos que confían ciegamente en cualquier herramienta de escaneo de código, sea de IA o no, para reemplazar los fundamentos de las buenas prácticas de seguridad y la programación segura, esta es su señal de alerta: no subcontraten la experiencia que protege la propuesta de valor del producto o servicio que están desarrollando”.

En ese sentido, el modelo no es fundamentalmente diferente de las herramientas SAST tradicionales. Es más avanzado en su razonamiento, pero un caso de uso sensible al riesgo sigue dependiendo de un humano en el proceso para interpretar, validar y remediar de forma segura los problemas que detecta.

La amenaza para las organizaciones no es la capacidad de la IA, sino la autonomía descontrolada de la IA y la falta de supervisión en el ciclo de vida del desarrollo de software. Cuando la IA genera y evalúa el código, una gobernanza sólida y precisa se convierte en un control crítico.

La definición en expansión del “desarrollador”

La IA ha reducido la barrera de entrada para crear aplicaciones y software. Pero el hecho de que algo se pueda hacer rápidamente usando IA no significa que se esté haciendo de la manera más segura o resiliente, ni que el proyecto esté listo para el usuario. La premisa misma del “vibe coding” es entrar en un “estado de flujo” y dejar para después las formalidades del desarrollo a nivel empresarial, como la seguridad.

El “desarrollador” de hoy puede ser:

• Un ingeniero tradicional que usa IA para acelerar tareas de programación
• Un gestor de producto que crea prototipos de funciones mediante prompts
• Un analista de datos que automatiza scripts mediante IA
• Un ingeniero de QA que aprovecha la IA para generar casos de prueba

Desde la perspectiva de la seguridad organizacional, quién escribe el código importa mucho menos que el impacto del código una vez que llega a producción. Desde el punto de vista del cumplimiento y el riesgo, si la interacción de un individuo con la IA resulta en la entrada de código en el ciclo de vida de desarrollo de software (SDLC) sin la supervisión de seguridad adecuada y específica de la empresa, se introduce un riesgo organizacional: un riesgo que debe entenderse, medirse y mitigarse.

Por qué el juicio humano sigue siendo importante

A medida que más personas adquieren la capacidad de generar código que podría afectar a la producción o a bases de código sensibles, el perfil de riesgo de una organización se expande. La gobernanza debe evolucionar para permitir el desarrollo impulsado por IA a escala, garantizando al mismo tiempo que los controles necesarios para proteger a la empresa permanezcan firmemente establecidos.

La IA puede, de forma bastante fiable, generar código y señalar posibles vulnerabilidades. Lo que no puede hacer es validar si ese código es apropiado dentro del contexto de su arquitectura, flujos de datos, modelo de identidad, obligaciones regulatorias o tolerancia al riesgo, y esta es información fundamental que afecta la eficacia de cualquier programa de seguridad. Además, implementar una herramienta como Claude Code en el SDLC es una cosa, pero herramientas como BaxBench demuestran mediante un vasto análisis de datos que diferentes modelos (por ejemplo, Opus frente a Sonnet 4.5 frente a Sonnet 3) devuelven resultados distintos en términos de seguridad y precisión, lo que genera una enorme diferencia en el coste real que una empresa terminará pagando por su uso mientras busca obtener código funcional y seguro.

El software seguro no es simplemente código que supera un escaneo. Debe seguir patrones buenos y seguros que se alineen perfectamente con el diseño del sistema, los objetivos comerciales y la política empresarial. Eso requiere criterio. Cuando los desarrolladores dependen en gran medida de la IA para generar o incluso revisar código, existe un riesgo real de que su comprensión de la base de código se erosione. Si un ingeniero no puede explicar completamente por qué una pieza de código funciona o es segura, la organización ya ha perdido una capa de control.

La validación no es lo mismo que la detección. La responsabilidad no es lo mismo que la automatización. La IA puede ayudar, pero no puede asumir la responsabilidad (y ninguna legislación hasta la fecha exime a los humanos de las consecuencias de las acciones de una IA fuera de control).

La supervisión humana no es un concepto del pasado. En un entorno de desarrollo impulsado por IA, es la principal salvaguarda que garantiza que el código que entra en el ciclo de vida de desarrollo de software haya sido revisado, comprendido y aprobado conscientemente. Sin esa capa de juicio, la velocidad se convierte en exposición.

La educación debe ser la base de una adopción segura de la IA

En este contexto, la formación en programación segura evoluciona de ser algo deseable a convertirse en un control empresarial fundamental. Los “desarrolladores” pasarán de ser operadores a orquestadores, desplazando el enfoque educativo desde el desarrollo de código seguro hacia la evaluación de la seguridad del código generado por IA.

Las habilidades necesarias para validar código generado por IA, anticipar clases de vulnerabilidad emergentes como la inyección de prompts y comprender cómo interactúan los patrones de IA con su arquitectura no pueden aprenderse mediante módulos de cumplimiento episódicos. Deben ser continuas, prácticas, integradas en los flujos de trabajo existentes y medibles frente a resultados de riesgo reales.

Gobernanza del software de IA: la capa de control que nos falta

Muchos programas de seguridad siguen tratando la seguridad de las aplicaciones como una función secundaria. En un entorno impulsado por IA, ese modelo deja de tener el mismo impacto en la reducción de riesgos. Lo que se necesita es Gobierno de Software de IA: un verdadero plano de control empresarial para un ciclo de vida de desarrollo de software impulsado por IA. Esta disciplina abarca todo el ciclo de vida del desarrollo de software con IA y establece una supervisión estructurada de la creación, revisión y aprobación del código.

Esto incluye:

• Visibilidad del uso de herramientas de IA en todos los equipos
• Atribución clara del código generado por IA dentro del SDLC
• Correlación de los cambios de código con las señales de riesgo y los requisitos de las políticas
• Aplicación de estándares de codificación segura dentro de los flujos de trabajo de los desarrolladores
• Capacitación continua y capacidad de codificación segura medible
• Reducción demostrable del riesgo de seguridad antes de que el código llegue a producción

La gobernanza es lo que une la detección con la toma de decisiones, asegurando que las ganancias en productividad no se produzcan a costa de la responsabilidad.

La IA seguirá transformando la forma en que se crea el software, y abandonarla no es realista ni deseable. Después de todo, las ganancias en productividad e innovación son demasiado significativas. Sin embargo, trabajar para extraer valor de forma segura requiere una supervisión disciplinada y una validación humana intencional, y esta infraestructura tampoco puede apresurarse ni ignorarse.