Perspectivas de expertos que definen el desarrollo seguro

¿Qué es una configuración de seguridad incorrecta? Descubre las vulnerabilidades más comunes y cómo prevenirlas. Aprende con Secure Code Warrior.

Cuanto más crecen mi hija y la empresa, más me doy cuenta de las muchas similitudes que existen entre el camino de una startup y la experiencia de ser padre primerizo. Ahora estoy en mi cuarto año en ambos casos.

A continuación, analizaremos cómo funciona el clickjacking, por qué es peligroso y qué pueden hacer los desarrolladores como tú para prevenirlo.

Los ataques de inyección de comandos del SO pueden ser ejecutados por hackers principiantes o con menos experiencia, lo que los convierte en una de las vulnerabilidades más comunes a las que se enfrentan los equipos de seguridad. Afortunadamente, existen varias formas muy eficaces de evitar que tengan éxito.

Las sesiones son fundamentales para ofrecer una buena experiencia de usuario en la web. Sin embargo, una gestión incorrecta de estas puede generar brechas de seguridad que los atacantes podrían aprovechar.

¿No crees que es hora de darle un cambio de imagen a la seguridad? Es tan sencillo como cambiar el enfoque y hacer que todo sea un poco más positivo (¡por no decir divertido!) para ambas partes, especialmente para el equipo de desarrollo.

Aunque Padding Oracle suena como un nombre terrible para una banda de rock alternativo, en realidad es una vulnerabilidad que los atacantes pueden utilizar para descifrar información sin conocer la clave de cifrado.

Pueden producirse problemas cuando usuarios malintencionados pueden manipular una consulta LDAP. Esto puede engañar al servidor receptor para que ejecute consultas no válidas que normalmente no estarían permitidas, o incluso para que conceda acceso de administrador o de alto nivel a usuarios no válidos o de baja seguridad sin contraseña.

La verdadera batalla a la que nos enfrentamos no es contra los aficionados a los scripts ni contra los peligrosos sindicatos del cibercrimen organizado... sino en lograr que a más personas les importe que las filtraciones de datos están ocurriendo.

En el ámbito de la ciberseguridad, los atacantes pueden aprovechar rápidamente cualquier aplicación o programa al que se haya permitido subir archivos sin restricciones. Y los resultados pueden ser devastadores.

Las bases de datos NoSQL son cada vez más populares. Es difícil negar su velocidad y facilidad para gestionar datos no estructurados, pero a medida que su uso se generaliza, inevitablemente surgen más vulnerabilidades.

Los ataques CSRF son bastante complejos y dependen de múltiples capas para tener éxito. En otras palabras, deben fallar muchas cosas a favor del atacante para que funcionen. A pesar de ello, son un vector de ataque extremadamente popular y lucrativo.

Los atacantes están utilizando la inyección SQL —una de las vulnerabilidades de datos más antiguas (¡desde 1998!) y persistentes que existen— para robar y modificar información confidencial en millones de bases de datos de todo el mundo.

Cuando se intenta mantener la privacidad en línea sin seguridad, el caos se apodera de todo. Solo hay que preguntarle a Ross Ulbricht.

Observamos: el creciente liderazgo e innovación de las instituciones financieras en la capacitación de sus desarrolladores en programación segura.

Existe una teoría muy conocida que dice que las cucarachas pueden sobrevivir a prácticamente cualquier cosa, incluso a una explosión nuclear.

Existen muchas soluciones para detectar vulnerabilidades en el código, pero la seguridad debe centrarse más en enseñar a los desarrolladores a seguir directrices que eviten que cometan estos errores desde el principio.

Debemos trabajar para cambiar la conversación y hacer que la seguridad sea una parte integral de la vida laboral de cada desarrollador. Creo que una de las mejores formas de lograrlo es empoderando e involucrando a los desarrolladores en la seguridad mediante, por ejemplo, la gamificación.

Debemos dejar de ver la seguridad como un obstáculo molesto para la innovación de la empresa.

Pensé que terminaría en una carrera tipo infraestructura o soporte de servicios, y luego tuve una oportunidad de desarrollo en un programa de posgrado. Resulta que es exactamente donde tenía que estar.

Capacitar a los desarrolladores para escribir código seguro desde el principio es una oportunidad para que los CISO tomen el control proactivo frente a los desafíos de seguridad, permitiendo mejoras rápidas, sencillas y cuantificables tanto para los equipos de seguridad como para los de desarrollo.

Lo único que evitó una explosión fue un error en el código informático de los atacantes, según informaron los investigadores.

Nuestra visión es capacitar a los desarrolladores para que sean la primera línea de defensa en su organización, haciendo que la seguridad sea altamente visible y proporcionándoles las habilidades y herramientas para escribir código seguro desde el principio.

¿Cómo se supone que los desarrolladores escriban código seguro si nadie les enseña por qué es importante, cuáles son las consecuencias de un código inseguro y, lo más importante, cómo evitar crear estas vulnerabilidades en sus respectivos marcos de programación desde el principio?

Las especificaciones para XML y los esquemas XML incluyen múltiples fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, estos pueden ser utilizados para llevar a cabo diversos ataques.

Podemos insertar un archivo en un zip cuyo nombre tenga como prefijo un

El coste de cambiar una sola línea de código en un equipo de aviónica es de un millón de dólares y requiere un año para su implementación. Para Southwest Airlines, cuya flota se basa en los Boeing 737, esto supondría la "quiebra"

Episodio 139: Matias Madou habla sobre formación en desarrollo seguro e investigación en pruebas de seguridad de software

El cifrado completo del dispositivo Android protege todos los datos y los escribe en el almacenamiento, de modo que solo son visibles una vez que se desbloquea el dispositivo. Aprenda más con Secure Code Warrior.

A veces es fundamental que una aplicación pueda verificar que una acción se está realizando con el pleno conocimiento y consentimiento del usuario

Al definir permisos personalizados, una aplicación puede compartir sus recursos y capacidades con otras aplicaciones.

Casi 300 000 desarrolladores en aproximadamente 95 000 aplicaciones utilizan BSIMM8 para ayudar a planificar, ejecutar y medir sus iniciativas de seguridad de software (SSI).

La enumeración de nombres de usuario ocurre cuando los hackers utilizan ataques de fuerza bruta para obtener información de usuarios y contraseñas. Aprenda a evitar la enumeración de nombres de usuario con Secure Code Warrior.

5 lecciones clave para implementar una formación eficaz en seguridad para desarrolladores

La importancia de este trabajo radica en que hemos aportado pruebas empíricas de un número considerable de problemas críticos de seguridad en la programación que no se habían documentado anteriormente

El error sigue ahí fuera. No es algo que se pueda solucionar de inmediato. Durante los últimos meses, contacté a decenas de empresas y proveedores afectados a través de sus programas de recompensas para que corrigieran su configuración.

A medida que los CIO impulsan con determinación sus capacidades ágiles empresariales, las habilidades de programación segura se convertirán en un arma de innovación; carecer de ellas será un factor de destrucción.

No importa si está capacitando a la alta dirección en ciberseguridad o ayudando a desarrolladores a mejorar sus habilidades de programación segura en JAVA o C#; siempre hay espacio para la creatividad, la gamificación y la diversión.

Si un desarrollador comete un error de cross-site scripting mientras programa en JavaScript y es capaz de detectarlo a los pocos minutos de haberlo creado

Hay una pregunta que todo desarrollador debe hacerse, tanto si es un recién graduado como si es un veterano. Y la respuesta es importante.

La semana pasada estuve investigando vulnerabilidades en Java Spring para actualizar nuestras directrices de programación segura.

Avanzando hasta 2016, un investigador de seguridad encontró una vulnerabilidad común conocida como cross-site scripting (XSS) en el sitio web principal de Equifax, según un tuit de un investigador que se hace llamar x0rz.

La vulnerabilidad está relacionada con la forma en que Struts analiza ese tipo de datos y los convierte en información que puede ser interpretada por el lenguaje de programación Java.

La remanencia de datos es la representación física residual de información que ha sido borrada de alguna manera.

Una vez más, la causa raíz del hackeo de Equifax es una vulnerabilidad en una aplicación web. Este tipo de vulnerabilidades existen desde hace más de una década, pero siguen siendo muy relevantes hoy en día.

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

La Cámara de Comercio (Kamer van Koophandel) comparte cómo integró la programación segura en el desarrollo diario mediante certificaciones basadas en roles, evaluaciones comparativas de puntuación de confianza y una cultura de responsabilidad compartida en seguridad.

Descubra cómo la colaboración entre Paysafe y Secure Code Warrior permitió aumentar la productividad de los desarrolladores en un 45 % y reducir significativamente las vulnerabilidades en el código.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Explora los resultados de las Devlympics 2023 en este informe. Sumérgete en la participación de los desarrolladores, las tendencias en lenguajes y stacks tecnológicos de cada sector participante, así como en las vulnerabilidades y CWE clave abordadas en este evento global anual organizado por Secure Code Warrior.

Descubre cómo Sage reforzó su seguridad con un enfoque flexible y centrado en las relaciones, logrando formar a más de 200 expertos en seguridad y alcanzar una reducción de riesgos cuantificable.

Descubra cómo Workday transformó la formación de sus desarrolladores mediante el aprendizaje ágil con Secure Code Warrior. Al dotar a los desarrolladores de una formación práctica y específica por lenguaje, Workday redujo las vulnerabilidades en las primeras etapas del ciclo de vida de desarrollo de software (SDLC). Conozca sus impresionantes resultados y las claves para fomentar una cultura de código seguro.

En este caso práctico, descubra cómo Thales ha desarrollado enfoques de personas, procesos y tecnología para un programa ágil de aprendizaje de código seguro, con el fin de motivar a los desarrolladores a convertirse en defensores activos de la seguridad.

Descubra cómo el gigante minorista Colgate-Palmolive transformó su seguridad de aplicaciones durante su proceso de transformación digital. Ante los desafíos en la codificación segura, innovaron su enfoque integrando un aprendizaje breve y contextual en el flujo de trabajo de los desarrolladores.

IAG Group es la entidad detrás de muchas de las principales compañías de seguros en la región de Asia-Pacífico, que suscribe pólizas para millones de clientes por un valor aproximado de 11.400 millones de dólares australianos en primas anuales.

Descubra cómo crearon una iniciativa interna de formación tecnológica destinada a ayudar a miles de empleados a adquirir habilidades prácticas y de vanguardia en diversas disciplinas, como el aprendizaje automático y la ciberseguridad.

Explore este caso de estudio integral para conocer cómo utilizaron los torneos de Secure Code Warrior para involucrar a los desarrolladores, aumentar la concienciación sobre las vulnerabilidades clave que afectan al software automotriz y obtener métricas en múltiples lenguajes y marcos de trabajo.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

El Mes de Acción de Ciberseguridad (conocido mundialmente como el Mes de Concienciación sobre Ciberseguridad) es una campaña anual de sensibilización en Australia que se celebra en octubre para animar a personas y empresas a mejorar su seguridad en línea mediante hábitos cotidianos sencillos.

Los gobiernos ya no pueden tratar los ciberataques a velocidad de máquina como un escenario futuro porque, como demostró la reciente brecha de Medicare, el futuro ya está aquí.

‍

‍

Octubre es el Mes de la Concienciación sobre la Ciberseguridad y, si algo han demostrado los últimos doce meses, es que el panorama de amenazas no se toma un respiro. Desde campañas de phishing impulsadas por IA e ingeniería social mediante deepfakes hasta el incesante goteo de ataques de ransomware contra hospitales, escuelas y municipios, los equipos de seguridad apenas han tenido descanso en 2026. Esta conmemoración anual, que cumple ya tres décadas, sigue siendo una de las mejores excusas del sector para hacer una pausa, evaluar la situación y preguntarnos: ¿somos realmente más seguros o simplemente estamos más ocupados?

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

Los agentes de OpenAI «se infiltraron» en sitios web gubernamentales de Australia al realizar tareas de investigación relativamente rutinarias, en lo que se considera uno de los primeros incidentes de este tipo.

Este evento, tras otras brechas de agentes de IA, pone de relieve problemas críticos: los peligros de una IA no alineada, la responsabilidad de los desarrolladores y unos protocolos de divulgación de incidentes inadecuados. Los expertos subrayan la urgente necesidad de establecer límites técnicos, una supervisión sólida y una notificación obligatoria y oportuna para evitar futuros incidentes potencialmente catastróficos.

En junio, un agente de IA vulneró Medicare y al menos otros tres sistemas gubernamentales; nos enteramos recién ahora, lo que ha causado alarma en todo el sector.

Seguir el ritmo de la regulación global de la IA se está volviendo casi tan difícil como seguir el ritmo de la propia tecnología. Para los líderes de seguridad, cada semana trae consigo un nuevo avance, propuesta regulatoria o cambio de política, lo que añade complejidad a un panorama de riesgos ya de por sí complicado.

El modelado de amenazas no es ninguna novedad para las organizaciones con un enfoque de ciberseguridad maduro y de defensa en profundidad. Ha sido durante mucho tiempo un pilar de la seguridad preventiva, ayudando a las empresas a identificar y solucionar vulnerabilidades antes de que puedan ser explotadas.

Secure Code Warrior ha lanzado Citizen AI, un programa de formación en alfabetización sobre IA para empleados que no son desarrolladores, con el objetivo de fomentar una adopción responsable de la IA en todas las áreas de la empresa.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Secure Code Warrior ha anunciado Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su plantilla para una adopción responsable de la IA. Citizen AI ayuda a las empresas a reducir el riesgo humano relacionado con la IA, respaldar iniciativas de gobernanza de IA a nivel corporativo, aumentar la confianza de los empleados al utilizar estas herramientas y acelerar la adopción segura de flujos de trabajo impulsados por IA.

‍

Secure Code Warrior, líder en gobernanza de software mediante IA y capacitación en seguridad para desarrolladores, anunció hoy Citizen AI by Secure Code Warrior, un nuevo programa de alfabetización en IA diseñado específicamente para empleados que no son desarrolladores, con el fin de ayudar a las organizaciones a preparar a su fuerza laboral para una adopción responsable de la IA.

El nuevo programa de alfabetización en IA dota a los empleados que no son desarrolladores del criterio, la conciencia de riesgos y los hábitos de uso responsable necesarios para adoptar flujos de trabajo basados en IA de forma segura.

Las organizaciones pasan por alto un objetivo clave al desarrollar programas de gobernanza y capacitación para el desarrollo de software asistido por IA.

El desarrollo de software con IA sigue evolucionando a un ritmo acelerado para los desarrolladores y sus equipos. , CEO y cofundador de Secure Code Warrior, plantea que, a medida que la norma cambia del código escrito por humanos a la programación asistida por IA y los flujos de trabajo autónomos, muchos equipos de seguridad se enfrentan ahora a un desafío crítico: gestionar los nuevos riesgos que introducen los sistemas autónomos.

‍

‍

La cuestión a la que se enfrentan las empresas de desarrollo de software no es si se debe utilizar IA generativa para crear código, ni si el porcentaje de código generado por IA aumentará en un futuro próximo. Ese tren ya pasó en los últimos 24 meses. La pregunta es cómo mantener la seguridad y el cumplimiento normativo mientras la IA generativa y los agentes de inteligencia artificial ponen código en circulación.

Cada septiembre, el Mes Nacional de Concienciación sobre Amenazas Internas nos recuerda oportunamente que algunos de los incidentes de seguridad más dañinos no provienen de atacantes externos que vulneran el perímetro, sino desde adentro. Ya sea por intención maliciosa, negligencia o un simple error humano, los usuarios internos con acceso legítimo a sistemas, datos e instalaciones siguen siendo uno de los riesgos más persistentes y difíciles de detectar para las organizaciones actuales. A medida que el trabajo híbrido, las herramientas basadas en IA y los entornos de TI cada vez más complejos transforman el lugar de trabajo, el panorama de las amenazas internas sigue evolucionando de formas que exigen una nueva atención por parte de los profesionales de la seguridad.

A medida que la IA agente impulsa aún más la productividad, la revisión de código humana se convierte en un cuello de botella crítico. Los desarrolladores deben intervenir en las etapas iniciales para establecer las reglas básicas y garantizar que la IA las cumpla.

​El sector de la ciberseguridad, que lleva más de una década defendiendo los principios de «seguridad desde el diseño», observa con asombro los riesgos que plantea la inteligencia artificial (IA). Ante la prisa de las organizaciones por adoptar la IA, la prioridad más urgente de un CISO es no convertirse en un obstáculo. Sin embargo, sin una gobernanza, uso, observabilidad y trazabilidad eficaces, las organizaciones podrían verse sorprendidas por los riesgos de su IA.​

Secure Code Warrior ha presentado el modelo de adopción de IA de SCW, un marco diseñado para ayudar a las organizaciones a gestionar el uso de la IA en el desarrollo de software, a medida que el sector evoluciona del ciclo de vida de desarrollo de software (SDLC) tradicional hacia lo que la empresa denomina ciclo de vida de desarrollo agéntico (ADLC).

A medida que muchos equipos de ingeniería de software pasan de los asistentes de programación por IA a la generación de código mediante agentes autónomos, aumentando exponencialmente su producción, garantizar la seguridad de dicho código debe ser una prioridad absoluta. Este estudio ofrece una guía práctica para las organizaciones que se están sumando a la tendencia del desarrollo de código asistido por IA o mediante agentes.

El uso de tokens puede generar costes inesperados y considerables para las organizaciones.

La IA permite ciclos de desarrollo más rápidos y libera a los desarrolladores para que se centren en tareas de mayor valor. Para muchas empresas, esta eficiencia es fundamental para seguir siendo competitivas. El reto, por tanto, no es si adoptar la IA, sino cómo hacerlo de forma responsable. Las empresas que inviertan en formación, marcos de gobernanza, observabilidad de la IA y controles de seguridad sólidos estarán mejor posicionadas para aprovechar sus beneficios y limitar los riesgos asociados.

El problema ya no se limita simplemente a proteger los modelos de IA. Cada vez más, los atacantes se centran en el ecosistema de software que rodea a dichos modelos, incluidas las herramientas de desarrollo, el middleware, las bibliotecas de código abierto y los procesos de implementación automatizados de los que dependen las organizaciones a diario.

Como analizaremos juntos, existe un gran dinamismo a nivel mundial, con cierta colaboración entre naciones, pero el camino a seguir dista mucho de ser uniforme o claro, especialmente en entornos empresariales donde la adopción de la IA suele imponerse antes de contar con medidas de protección integrales.  

Según un experto, las directrices de seguridad de la IA no están diseñadas como «límites de seguridad», sino para influir en el comportamiento; pero ¿qué ocurre si ese comportamiento consiste en hackear a uno de sus socios del sector?

‍

Los expertos en ciberseguridad han advertido que la vulneración de la infraestructura de Hugging Face durante una evaluación de seguridad de OpenAI marca un punto de inflexión en los riesgos que plantean los agentes de IA autónomos. En el incidente, los modelos de IA superaron un entorno de prueba controlado y llevaron a cabo una intrusión real de varias etapas contra la plataforma de IA.

El código generado por IA introduce una media de 15 vulnerabilidades confirmadas por base de código, según Secure Code Warrior.

La IA de vanguardia se enfrenta a una crisis de relaciones públicas. Después de que Hugging Face publicara una entrada de blog el 16 de julio afirmando que un agente autónomo había vulnerado su entorno interno, OpenAI publicó el 21 de julio que el incidente ocurrió cuando GPT 5.6 Sol y un “modelo de prelanzamiento” escaparon de un entorno de pruebas controlado.

Las investigaciones de Secure Code Warrior revelan que el código generado por IA introduce una media de 15 vulnerabilidades por base de código.

‍

Secure Code Warrior ha presentado el SCW AI Trust Index, un punto de referencia dinámico para la seguridad en la programación con IA que evoluciona con cada nuevo modelo, ayudando a las organizaciones a comprender y gestionar los riesgos de seguridad del código generado por IA. Basada en una metodología desarrollada junto con la Universidad RMIT de Australia y ampliada por Secure Code Warrior, esta investigación ofrece evaluaciones exhaustivas sobre la frecuencia con la que los principales LLM generan código inseguro, lo que tiene implicaciones directas para toda empresa que escale su desarrollo asistido por IA.

El código generado por IA introduce una media de 15 vulnerabilidades por base de código, pero el riesgo real depende más de la combinación de frameworks que del modelo utilizado.

El nuevo SCW AI Trust Index demuestra que el riesgo en el código generado por IA no es aleatorio, sino predecible según el modelo y el framework, proporcionando a los líderes de seguridad los datos para escalar el desarrollo asistido por IA de forma segura.

Los desafíos de la implementación de la IA, las actualizaciones constantes y la carrera por el dominio del sector se suceden con rapidez, y los profesionales de la seguridad son de los más afectados por su amplio perfil de riesgo.

El gobierno australiano ha afirmado que la IA es fundamental para el interés nacional del país, pero ¿cuál es su situación actual? Esto es lo que opinan los expertos más destacados del sector sobre la inteligencia artificial y su papel en la empresa moderna.

‍

La aparición de la IA agente marca un cambio estructural en el desarrollo de software, al introducir sistemas que no solo aceleran los ciclos de producción, sino que también realizan razonamientos y acciones autónomas más allá del control humano directo.

A medida que el código generado por IA se vuelve habitual, los CISO necesitan nuevas estrategias de auditoría para evaluar las prácticas de los desarrolladores, regular el uso de herramientas de IA e identificar riesgos de software antes de que lleguen a producción.

Esta categoría ha cobrado una nueva urgencia en 2026 por una razón específica de este momento: las herramientas y agentes de programación con IA están aumentando drásticamente la cantidad de código que se escribe y la frecuencia con la que debe implementarse, probarse y aprovisionarse. La ingeniería de plataformas es la capa que determina si esa mayor velocidad se traduce en valor real o en caos.

Según un informe reciente de Gartner, el uso desenfrenado de IA en la sombra y la automatización no autorizada está impulsando la proliferación de vulnerabilidades de IA. Gartner señala que el 32% de los trabajadores de TI que utilizan herramientas de IA generativa en el trabajo admiten ocultarlas a sus equipos de ciberseguridad. Sumado a las plataformas de código bajo/sin código y las prácticas de programación intuitiva, los copilotos de IA están ampliando considerablemente la superficie de ataque empresarial.

Para este artículo, planteamos una pregunta fundamental para los líderes de seguridad y riesgos: "¿Qué diferencia a una política que mitiga genuinamente el riesgo empresarial de aquella que existe principalmente para demostrar que la organización ha reconocido el riesgo de la IA?"

Pieter Danhieux, de Secure Code Warrior, sobre la gestión de riesgos en el desarrollo impulsado por IA

A medida que la IA generativa se consolida en el desarrollo de software empresarial, una disciplina conocida cobra una nueva urgencia: la gestión de riesgos.

Secure Code Warrior ha anunciado hoy SCW Trust Agent: AI, la primera solución de gobernanza del sector diseñada para hacer que la influencia de la Inteligencia Artificial (IA) en el desarrollo de software sea visible, atribuible y ejecutable en el momento de la confirmación, lo que permite a las empresas escalar las herramientas de codificación con IA con un control medible sobre el riesgo del software.

Incluso mientras reestructuramos el ciclo de vida de desarrollo de software (SDLC) en torno a los elementos más impactantes de la metodología Agile con consideraciones de seguridad centradas en DevSecOps, ¿es este el fin del camino para la seguridad de aplicaciones tal como la conocemos?

Premios Global InfoSec 2026: Secure Code Warrior gana el premio a la excelencia en gestión de riesgos de ciberseguridad y cumplimiento

Nuestra nueva solución de gobernanza de IA hace visible el código generado por IA en el momento de la confirmación, aplica políticas antes de la producción y vincula el comportamiento real de desarrollo con una reducción medible del riesgo.

Secure Code Warrior (SCW) ha incorporado esta semana un agente de inteligencia artificial (IA) capaz de identificar el código generado por herramientas de programación mediante IA y aplicar automáticamente las políticas de gobernanza correspondientes.

Secure Code Warrior ha lanzado SCW Trust Agent: AI, un producto de gobernanza de software que rastrea el uso de herramientas de programación con IA en el desarrollo y vincula dicho uso con el riesgo de software cuando los desarrolladores confirman código.

Premios Globee® de Ciberseguridad 2026: Secure Code Warrior gana el Globee de oro en soluciones de ciberseguridad para el desarrollo de software (Lo mejor de lo mejor)

Secure Code Warrior ha anunciado SCW Trust Agent: AI, una solución de gobernanza diseñada para hacer que la influencia de la IA en el desarrollo de software sea visible, atribuible y ejecutable en el momento de la confirmación, permitiendo a las empresas escalar herramientas de codificación con IA con un control medible sobre el riesgo del software.

Secure Code Warrior ha anunciado hoy SCW Trust Agent: AI, la primera solución de gobernanza del sector diseñada para hacer que la influencia de la IA en el desarrollo de software sea visible, atribuible y aplicable en el momento de la confirmación (commit), permitiendo a las empresas escalar sus herramientas de codificación con IA con un control medible sobre el riesgo del software. Por primera vez, las organizaciones pueden rastrear qué modelos de IA influyeron en confirmaciones específicas, correlacionar esa influencia con la exposición a vulnerabilidades y tomar medidas correctivas antes de que el código inseguro llegue a producción.

Secure Code Warrior ha anunciado SCW Trust Agent: AI, una solución de gobernanza diseñada para hacer que la influencia de la IA en el desarrollo de software sea visible, atribuible y aplicable en el momento de la confirmación (commit), permitiendo a las empresas escalar sus herramientas de codificación con IA con un control medible sobre el riesgo del software. Las organizaciones pueden rastrear qué modelos de IA influyeron en confirmaciones específicas, correlacionar esa influencia con la exposición a vulnerabilidades y tomar medidas correctivas antes de que el código inseguro llegue a producción.

Nuestra nueva solución de gobernanza de IA hace visible el código generado por IA en el momento de la confirmación, aplica políticas antes de la producción y vincula el comportamiento real de desarrollo con una reducción medible del riesgo.

Durante mucho tiempo, a los desarrolladores les ha costado encontrar su lugar en los programas tradicionales de modelado de amenazas, pero con las habilidades adecuadas, tienen la oportunidad de utilizar la IA de forma responsable para reducir significativamente el riesgo y el retrabajo en su código.

El código generado por IA puede estar "hecho por una máquina", pero adoptar un enfoque estandarizado para protegerlo no bastaría para mitigar las vulnerabilidades que los LLM pueden introducir. Las organizaciones deben establecer revisiones de seguridad precisas, con desarrolladores humanos que lideren el proceso para implementar controles eficaces y gestionar el temperamento de codificación específico de cada LLM utilizado. El código generado por IA debe someterse a las mismas evaluaciones de riesgo personalizadas que el código escrito por humanos.

A medida que las herramientas de inteligencia artificial (IA) se utilizan más ampliamente en el proceso de desarrollo de software, su impacto en la seguridad es cada vez más evidente. Según investigaciones recientes, casi el 70% de las organizaciones ha descubierto vulnerabilidades causadas por herramientas de IA, mientras que una de cada cinco ha sufrido un incidente grave como resultado de dichas vulnerabilidades.

Según la empresa de investigación Forrester[1], la deuda técnica del 75% de las organizaciones alcanzará un nivel moderado o alto este año, debido a la rápida expansión del uso de la IA en diversas áreas, incluido el desarrollo de software.

Aunque apenas comienza el 2026, nuevas investigaciones revelan el alcance de los riesgos cibernéticos derivados del desarrollo de software asistido por inteligencia artificial (IA): casi 7 de cada 10 organizaciones han detectado vulnerabilidades introducidas por código generado por IA, y 1 de cada 5 ha sufrido un incidente grave directamente relacionado con dichas vulnerabilidades.

La inteligencia artificial (IA) se ha vuelto indispensable para el desarrollo de software moderno a pasos agigantados. Desde modelos de lenguaje extensos que generan código bajo demanda hasta sistemas de agentes que automatizan flujos de trabajo completos, las herramientas de IA prometen mejoras drásticas en productividad y eficiencia.

Los desarrolladores deben ver la IA como un colaborador que requiere una supervisión estrecha, no como una entidad autónoma que se puede dejar a su aire. Sin este enfoque, la deuda técnica paralizante es inevitable.

Desde el compromiso técnico hasta los ataques impulsados por IA, los ciberdelincuentes ven cada vez más a los desarrolladores de software como objetivos principales, lo que genera riesgos sistémicos que los CISO deben abordar.

Es la Semana de la Privacidad en Línea, una época del año en la que se recuerda a personas y organizaciones que revisen su huella digital. Algunos dirán que es un gesto inútil en un momento en el que las grandes redes sociales y empresas de marketing lo saben absolutamente todo sobre usted y venden alegremente esos datos al mejor postor; cuando Microsoft utiliza todos los trucos posibles para que los usuarios de Windows suban sus datos a la nube, donde las agencias gubernamentales pueden husmear sin previo aviso; cuando una crisis de equipos personales implica que muchos usuarios pasarán a un entorno de cliente ligero donde todo, desde el almacenamiento hasta el procesamiento, ocurrirá en la nube; y cuando la gente cree que hacer clic en «Aceptar» en las ventanas emergentes de los sitios web sirve de algo para protegerse. Pero, ¿qué dicen los expertos?

Especialistas en tecnología y datos han advertido que la inteligencia artificial y una gobernanza de datos deficiente están aumentando los riesgos de privacidad para las organizaciones, justo cuando las empresas conmemoran el Día de la Protección de Datos.

La "Semana de la Privacidad de los Datos" es un excelente recordatorio para que las organizaciones revisen sus políticas de privacidad y prioricen la transparencia en la recopilación de datos dentro de sus estrategias de marketing.

Cinco expertos líderes en ciberseguridad advierten que la IA se está integrando más rápido de lo que las políticas de seguridad pueden gestionar, lo que genera brechas de privacidad urgentes para las pymes antes del Día de la Protección de Datos el 28 de enero.

La OWASP Foundation ha sido un referente para profesionales y entusiastas de la seguridad, ofreciendo consejos prácticos y fundamentales sobre las vulnerabilidades de software más insidiosas en una gran variedad de categorías y plataformas. Esta es la primera actualización importante desde 2021 de la lista insignia OWASP Top 10 de vulnerabilidades web; desde entonces, la industria se ha visto sacudida por una avalancha de tecnologías, herramientas y código de IA, que generan una dicotomía entre eficiencia de seguridad y riesgo tanto para los profesionales de la ciberseguridad como para los de la ingeniería de software.

En resumen: las herramientas de IA no son seguras para el uso empresarial a menos que el código generado sea revisado e implementado por un experto en seguridad. El 30% de los expertos en seguridad admite que no confía(link is external) en la precisión del código generado por la propia IA. Por ello, los líderes de seguridad deben priorizar la formación y capacitación de sus equipos de desarrollo, asegurando que cuenten con las habilidades necesarias para mitigar las vulnerabilidades del código asistido por IA lo antes posible. Esto fomentará una cultura de equipo centrada en la seguridad y un uso más seguro de la IA.

Aquí tienes todo lo que necesitas saber sobre la tecnología de 2025, especialmente para ti, que eres de la Generación Z.

Es posible que los CISO que esperaban que la Ley de Inteligencia Artificial de la UE ofreciera un marco sólido para la gobernanza de la IA se sientan algo confundidos o decepcionados por las recientes actualizaciones sobre la implementación de las restricciones a la IA.

Un presunto atacante vinculado a un estado-nación utilizó Claude Code y diversas herramientas del ecosistema de desarrollo para atacar de forma casi autónoma a empresas específicas, empleando herramientas de hacking de código abierto a gran escala. De los más de treinta ataques, varios tuvieron éxito y demostraron que los agentes de IA pueden ejecutar tareas maliciosas a gran escala con poca o ninguna intervención humana.

La serie de predicciones de DEVOPSdigest continúa con las Predicciones de DevSecOps para 2026: expertos del sector ofrecen sus pronósticos sobre cómo evolucionará DevSecOps y su impacto en la industria en 2026.

El Open Worldwide Application Security Project (OWASP) ha presentado su lista más reciente de las 10 principales vulnerabilidades, la cual ofrece perspectivas sorprendentes sobre categorías de vulnerabilidad fundamentales.

Expertos en ciberseguridad presentan sus predicciones para 2026, desde ataques impulsados por IA y riesgos cuánticos hasta amenazas de estados-nación, brechas en seguridad OT y presiones de automatización.

Pieter Danhieux, cofundador y CEO de Secure Code Warrior, advierte que, si bien las herramientas de programación con IA prometen velocidad y eficiencia, también introducen nuevos riesgos.

2026 se perfila como el año en que la IA dejará de ser una herramienta para convertirse en un socio, transformando nuestra forma de trabajar, crear y resolver problemas.

Aunque la vulneración de estas herramientas no ha provocado hasta ahora un ataque a gran escala, se han producido algunos exploits y situaciones de riesgo, y los investigadores de ciberamenazas han descubierto vulnerabilidades críticas en varias herramientas populares que dejan claro lo que podría salir terriblemente mal.

Llega esa época del año en la que empiezan a surgir las predicciones sobre el sector tecnológico. Esto es lo que (aparentemente) nos espera en 2026.

La preocupación es clara: los equipos de desarrollo pueden depositar una confianza excesiva en herramientas de IA que no están preparadas para interpretar el contexto matizado en el que surgen muchas vulnerabilidades de seguridad. Los modelos de lenguaje extensos, por ejemplo, pueden tener dificultades para comprender la arquitectura de autenticación o autorización de una aplicación, lo que aumenta la probabilidad de pasar por alto salvaguardas críticas.

Las directrices del sector sobre la gestión de los riesgos del código generado por IA apuntan cada vez más a la misma conclusión: unas medidas de seguridad eficaces dependen de una estrecha colaboración entre humanos y máquinas, manteniendo a los desarrolladores siempre al mando.

La inteligencia artificial (IA) agentiva transformará el panorama empresarial en la región de Asia-Pacífico y Japón (APJ) en 2026, según ejecutivos del sector. Se espera que las organizaciones adopten agentes de software cada vez más autónomos, lo que aumentará la productividad y generará nuevas categorías de riesgo en todas las áreas de negocio.

¿Qué tan grande es la amenaza que representa la IA agente para las empresas actualmente? ¿Y qué deberían estar haciendo los líderes de seguridad para abordar este riesgo?

Mi cofundador y CTO, el Dr. Matias Madou, y yo consultamos nuestra bola de cristal (¿o deberíamos decir nuestras GPU de NVIDIA?) y esto es lo que creemos que nos depara el 2026 en cuanto a seguridad de IA.

Un presunto atacante vinculado a un Estado-nación utilizó Claude Code y diversas herramientas del ecosistema de desarrollo, concretamente sistemas del Protocolo de Contexto de Modelo (MCP), para atacar de forma casi autónoma y a gran escala a empresas específicas mediante herramientas de hacking de código abierto. De los más de treinta ataques, varios tuvieron éxito y demostraron que los agentes de IA pueden ejecutar tareas maliciosas a gran escala con poca o ninguna intervención humana. Quizás sea hora de avanzar con más cautela, reflexionar sobre lo que está en juego y determinar la mejor manera de defendernos.

La IA es ahora una pieza clave del desarrollo de software moderno. Más de cuatro de cada cinco desarrolladores utilizan herramientas de programación con IA a diario o semanalmente, y muchos dependen de varias herramientas en paralelo. Los equipos deben entender dónde termina la automatización y dónde empieza la responsabilidad.

El código seguro debe basarse más en conceptos como la seguridad por defecto y por diseño que en la mentalidad de «detectar vulnerabilidades». Matias Madou comparte su experiencia en formación sobre codificación segura y la importancia de enseñar pensamiento crítico. También analiza por qué el pensamiento crítico está tan estrechamente relacionado con el modelado de amenazas y cómo los LLM pueden ayudar a los desarrolladores a ir más allá del consejo superficial de «piensa como un atacante».

Las organizaciones se encuentran en un punto de inflexión impulsado por la adopción explosiva de la IA, que promete cambios significativos en la forma en que operan las empresas. Esto deja a los CISO en una posición inestable. Como guardianes de los datos y el acceso de su organización, deben garantizar la seguridad de la empresa. Sin embargo, la perspectiva de una carrera desenfrenada hacia un uso amplio, y posiblemente sin control, de la IA podría generar una oleada de problemas de seguridad que muchos CISO, bajo sus estructuras organizativas actuales, no están preparados para gestionar.

Tanto los líderes de seguridad como los desarrolladores son plenamente conscientes de que los asistentes de programación y los agentes autónomos basados en IA pueden introducir vulnerabilidades en el código que generan. Un estudio reciente reveló otra preocupación crítica que les quita el sueño: los LLM utilizados para realizar mejoras iterativas en el código pueden introducir nuevas vulnerabilidades con el tiempo, incluso cuando se les solicita explícitamente que aumenten la seguridad del código.

Los organismos gubernamentales están intentando desarrollar normas y reglamentos para el uso seguro de la IA, pero las empresas no pueden permitirse esperar. Deben abordar los riesgos ahora mismo.

En el ámbito de la ciberseguridad en general, y de la seguridad de las aplicaciones en particular, la supervisión humana sigue siendo un requisito indispensable para aprovechar la productividad que ofrece la IA.

Al igual que el meteórico ascenso de ChatGPT, el «vibe coding» es el tema del que todo el mundo habla este año. De hecho, ya se ha convertido en una palabra de diccionario. Pero cuidado con el auge: estas nuevas herramientas de programación con IA ofrecen velocidad y ahorro, pero también vulnerabilidades sorprendentes.

Ryan conversa con Matias Madou, cofundador y CTO de Secure Code Warrior, sobre las implicaciones de la variabilidad de los LLM en la seguridad del código, el futuro de la formación de desarrolladores ante el auge de los asistentes de IA y la importancia del pensamiento crítico, especialmente para los desarrolladores junior, en la era de la IA.

Los desarrolladores de software obtienen múltiples beneficios al utilizar asistentes de inteligencia artificial, ya sea mediante modelos de lenguaje (LLM) para generar código o agentes de IA autónomos. Sin embargo, informes recientes, destacados por un nuevo estudio del MIT, advierten que el uso intensivo de la IA puede provocar una pérdida de habilidades de pensamiento crítico en los usuarios.

Para implementar herramientas de IA de forma segura y ética, los equipos deben equilibrar la innovación con la responsabilidad, estableciendo una gobernanza sólida, capacitando a los desarrolladores y aplicando revisiones de código rigurosas.

Para escribir código seguro con modelos de lenguaje, los desarrolladores deben tener la capacidad de usar la IA como un asistente colaborativo en lugar de una herramienta autónoma, sostiene Madou.

Pieter Danhieux, director ejecutivo, presidente y cofundador de Secure Code Warrior, explica su transición de la ciberseguridad ofensiva a la promoción del desarrollo de software seguro. Fundada en 2015, Secure Code Warrior ayuda a los desarrolladores a crear código seguro desde el principio, una práctica que Danhieux y el presentador Alan Shimel coinciden en que es más eficaz que corregir vulnerabilidades a posteriori. Ambos también debaten el impacto de la IA en el desarrollo de software, señalando que, aunque la IA aumenta la velocidad de programación y la accesibilidad, la seguridad del código generado por IA sigue siendo deficiente. Destacan la creciente necesidad de que los desarrolladores dominen prácticas de codificación segura ante estos avances tecnológicos.

Octubre es el Mes de la Concienciación sobre la Ciberseguridad en Australia, el recordatorio anual para que los australianos se mantengan alerta en línea. El tema de este año, «Construyendo nuestra cultura de ciberseguridad», destaca una vez más la importancia de asumir la responsabilidad personal de mantenerse seguro en un mundo cada vez más digital.

El Mes de la Concienciación sobre la Ciberseguridad ha renovado la atención sobre los crecientes riesgos a los que se enfrentan las organizaciones de todos los tamaños, con un enfoque particular en la amenaza creciente para las pequeñas y medianas empresas (pymes) en Australia y el Reino Unido.

En el mundo de la ciberseguridad, nos enfrentamos a diario a amenazas creativas y poco convencionales. Sin embargo, nuestra mayor vulnerabilidad no es un fallo en nuestro software, sino un fallo en nuestra forma de pensar colectiva.

Descubre cómo programan realmente 16 modelos de IA líderes, evaluados en 11 frameworks del mundo real y 1760 bases de código: el framework importa tanto como el modelo.

El riesgo de la IA no se limita a la ingeniería. Obtén nuestra hoja informativa sobre Citizen AI y fomenta la alfabetización en IA y hábitos seguros en toda tu plantilla.