Cada empleado está ahora en la primera línea de la ciberseguridad de la IA

Los líderes de seguridad empresarial deben actuar con rapidez para fomentar una mentalidad colectiva centrada en la seguridad en toda la organización.

El panorama tecnológico empresarial está cambiando a una velocidad que pocos previeron hasta que fue demasiado tarde. Hemos cruzado oficialmente el umbral del código escrito por humanos y la asistencia básica de copilotos hacia la era del Ciclo de Vida de Desarrollo Agéntico (ADLC). Si bien los agentes de IA autónomos prometen una eficiencia sin precedentes en múltiples funciones, también traen consigo una clase completamente nueva de riesgos de seguridad y regulatorios.

¿Cree que el riesgo cibernético real aún está a años de distancia? El reciente ataque de agentes de OpenAI a Hugging Face, las revelaciones posteriores de la mayoría de las empresas de IA sobre eventos similares y el mensaje del CEO de Anthropic sobre "bajar el ritmo" demostraron que la mayoría de nosotros estamos lamentablemente desprevenidos ante lo que puede ejecutarse de forma autónoma y afectar nuestras cadenas de suministro de software. Durante evaluaciones internas, un enjambre de agentes de IA demostró cooperación emergente, realizó ingeniería inversa en sistemas de puntuación automatizados, falsificó transcripciones de comandos e incluso explotó vulnerabilidades para obtener acceso de administrador a un clúster de investigación. Cuando los sistemas autónomos pueden cooperar, sacrificarse y ocultar sus huellas, debemos comprender que los límites de seguridad tradicionales han quedado obsoletos.

Al mismo tiempo, este poder no se limita a la ingeniería. Estamos presenciando una explosión de "desarrolladores ciudadanos", o empleados no técnicos que utilizan herramientas de bajo código, sin código y de "vibe coding" impulsadas por IA. Los asistentes ejecutivos están enviando código a GitHub (sí, eso acaba de suceder en mi empresa) sin entender realmente lo que hace. Las operaciones de ventas solicitan claves de API porque han construido su propio "Centro de Comando" y Claude les recomendó desplegarlo en alguna infraestructura de TI en la sombra. Y durante el fin de semana, yo mismo usé Lovable para construir un sitio web comunitario por menos de 25 dólares, simplemente chateando mientras lavaba mi coche y hacía la compra. El resultado parece algo que debería haber tomado semanas para un desarrollador de software profesional. Lovable incluso me notificó sobre "paquetes obsoletos" y "ataques de inyección"... incluso corrigió algunos de ellos correctamente. ¿Otros? No tanto, y requirieron intervención manual. 

‍Gartner estima que para 2026, los desarrolladores ciudadanos en grandes empresas superarán en número a los desarrolladores profesionales en una proporción de 4 a 1, y el 70% de las nuevas aplicaciones lanzadas utilizarán plataformas de bajo código y sin código para satisfacer una demanda que crece cinco veces más rápido de lo que la TI tradicional puede soportar.

Si bien esta transformación digital liderada por el negocio impulsa la agilidad, expande nuestra superficie de ataque exponencialmente. El personal no técnico maneja regularmente código fuente sensible, exponiendo datos propietarios a modelos de IA externos no autorizados y desplegando aplicaciones de "vibe coding" con dependencias invisibles.

Bajo las nuevas regulaciones globales como la Ley de IA de la UE, este "vibe coding" sin barreras es una receta para el incumplimiento normativo. La Ley de IA de la UE exige una responsabilidad, transparencia y supervisión humana estrictas. Las organizaciones ya no pueden ignorar la IA en la sombra, las brechas de seguridad en los modelos en uso o la observabilidad de quién está utilizando las herramientas y si conocen las mejores prácticas de seguridad para su función.

En Secure Code Warrior, hemos dedicado este año a construir la base para gobernar este nuevo paradigma. A principios de año, presentamos el Modelo de Adopción de IA de SCW, proporcionando a los CISO una hoja de ruta práctica para gestionar la transición del SDLC tradicional al ADLC de forma segura. Lanzamos el Índice de confianza en IA de SCW, respondiendo a la pregunta: “¿Puede un LLM ofrecer código 100% seguro? ¿Y cómo se comparan entre sí?”. Analizamos 1760 bases de código generadas por IA en dieciséis modelos de vanguardia y revelamos que el código generado por IA contiene un promedio de 15 vulnerabilidades confirmadas por base de código, 4,3 de las cuales se consideran “graves”. Ofrecemos Aprendizaje adaptativo, que integra microaprendizaje preciso en los flujos de trabajo de los desarrolladores en el momento exacto en que surge un riesgo, proporcionando evidencia auditable por desarrollador de la formación realizada, lo que respalda el cumplimiento de la Ley de IA de la UE, la norma ISO/IEC 42001 y el Marco de Gestión de Riesgos de IA del NIST.

Pero proteger a los desarrolladores es solo la mitad de la batalla. Si el 57% de las organizaciones tienen IA integrada en sus procesos principales, pero solo el 23% cree que su fuerza laboral está preparada, nos enfrentamos a una brecha de riesgo humano masiva.

Para ayudar a todos los CISO y equipos de L&D a gestionar el riesgo derivado de la explosión de personas ajenas al desarrollo creando herramientas en el lugar de trabajo, lanzamos Citizen AI de Secure Code Warrior.

Citizen AI es un programa innovador de alfabetización en seguridad de IA diseñado específicamente para equipos de negocio que no son desarrolladores. Ayuda a las organizaciones a ir más allá de las políticas pasivas, dotando a cada empleado de las habilidades prácticas y los hábitos responsables necesarios para navegar de forma segura por los flujos de trabajo impulsados por IA, al tiempo que respalda la gobernanza de IA empresarial y el cumplimiento normativo.

Nuestro plan de estudios inicial se centra en cuatro áreas vitales:

1. Entender cómo funciona la IA: Desglosar la naturaleza de predicción de palabras de los LLM y cómo se diferencian de las búsquedas.
2. Prompting inteligente y verificación de resultados: Aprender a detectar alucinaciones y utilizar el prompting de procedencia para verificar las afirmaciones de la IA.
3. Gestión de artefactos de IA: Reconocer los riesgos de las automatizaciones de terceros y las dependencias invisibles.
4. Reconocer los riesgos del “vibe-coding”: Saber cuándo un sitio web o una aplicación creados mediante “vibe-coding” requieren supervisión profesional de ingeniería y seguridad.

Con Citizen AI, estamos transformando la seguridad de un control técnico reactivo a un hábito proactivo en toda la organización. Juntos, podemos construir una fuerza laboral preparada para la IA que impulse la innovación de forma segura, conforme a las normas y a la velocidad del avance tecnológico más abrumador de nuestro tiempo.