Análisis a fondo: Cómo gestionar las vulnerabilidades generadas por asistentes de programación con IA

Mires donde mires, existe una fijación constante con la tecnología de IA en casi todos los sectores. Aunque algunos la elogian como la solución para la creación rápida de funciones en el desarrollo de software, las ganancias en velocidad tienen un precio: la posibilidad de que se introduzcan errores de seguridad graves en las bases de código, debido a la falta de conciencia contextual de la propia herramienta y a las limitadas habilidades de seguridad de los desarrolladores que confían en ellas para aumentar la productividad y generar respuestas a escenarios de desarrollo complejos.

La tecnología de modelos de lenguaje extenso (LLM) representa un cambio radical en las herramientas de asistencia y, cuando se utiliza de forma segura, podría ser realmente el compañero de programación en pareja que tantos ingenieros de software desean. Sin embargo, se ha comprobado rápidamente que el uso sin control de las herramientas de desarrollo de IA puede tener un impacto perjudicial; un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente resulte en un código con más errores y menos seguro en general, además de un aumento en la confianza de que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología LLM, una serie de recomendaciones, incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE, hacen que su uso sea un camino complicado en cualquier caso. Los desarrolladores pueden tomar ventaja perfeccionando sus habilidades de seguridad a nivel de código, su conciencia y su pensamiento crítico sobre los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de programación de IA? Juega nuestra NUEVA misión pública y compruébalo tú mismo.

‍

Ejemplo: Cross-site scripting (XSS) en ‘ChatterGPT’

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible riesgo de seguridad si se utilizara para el propósito previsto.

Basándose en la instrucción: “¿Puedes escribir una función de JavaScript que cambie el contenido del elemento HTML p, donde el contenido se pasa a través de esa función?”, el asistente de IA genera diligentemente un bloque de código, pero no todo es lo que parece.

¿Ya has jugado el desafío? Si no es así, pruébalo ahora antes de seguir leyendo.

… bien, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).

El XSS es posible gracias a la manipulación de la funcionalidad principal de los navegadores web. Puede ocurrir cuando una entrada no confiable se procesa como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada, el cual, al devolverse al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de programación de IA en el desarrollo de software

Una encuesta reciente a equipos de desarrollo en activo reveló que casi todos ellos, el 96%, han comenzado a utilizar asistentes de IA en su flujo de trabajo, y el 80% incluso evita las políticas de seguridad para mantenerlos en su kit de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque esto claramente no frenó su adopción.

Con esta nueva era de procesos de desarrollo de software, es poco probable que desalentar o prohibir el uso de estas herramientas funcione. En su lugar, las organizaciones deben capacitar a sus equipos de desarrollo para aprovechar las ganancias en eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura y brindarles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurando que actúen con una mentalidad de seguridad primero, especialmente al evaluar la amenaza potencial de los resultados de código de los asistentes de IA.

Lecturas adicionales

Para obtener más información sobre XSS en general, consulta nuestra guía completa.

¿Quieres aprender más sobre cómo escribir código seguro y mitigar riesgos? Prueba nuestro desafío de inyección XSS gratis.

Si te interesa recibir más guías de programación gratuitas, echa un vistazo a Secure Code Coach para mantenerte al día con las mejores prácticas de programación segura.

‍