Según un estudio de Veracode sobre más de 100 modelos, alrededor del 45% del código generado por IA introduce vulnerabilidades de seguridad del OWASP Top 10. Hacer "vibe coding" sin una capa de revisión de seguridad es un riesgo real que ya le costó caro a varias plataformas.
El "vibe coding" es lo más divertido que le ha pasado a la creación de software: describes lo que quieres, la IA lo construye, y tú ni tocas una línea de código. Magia pura. Pero toda magia tiene su letra pequeña, y aquí la letra pequeña da un poco de miedo: gran parte de ese código mágico viene con agujeros de seguridad de fábrica.
El dato que enfría el entusiasmo
La empresa de seguridad Veracode hizo el experimento en serio: puso a más de 100 modelos de IA a generar código y luego lo auditó. ¿El resultado? Cerca del 45% de ese código introdujo vulnerabilidades del OWASP Top 10 — la lista de los fallos de seguridad más clásicos y peligrosos de la web. Casi la mitad. Es como pedir comida a domicilio y que uno de cada dos pedidos venga con un ingrediente en mal estado. No siempre te enferma, pero la probabilidad es demasiado alta para ignorarla.
Por qué la IA escribe código inseguro (sin querer)
No es que la IA sea malvada. Es que aprendió de millones de ejemplos de internet, y en internet hay tanto código bueno como código inseguro. Además, cuando construye, la IA está en "modo optimista": piensa en que la función trabaje, no en cómo un atacante podría abusar de ella. Es como un cerrajero rapidísimo que instala la puerta perfecta… pero a veces olvida ponerle la cerradura. La puerta abre y cierra de maravilla. El problema es quién más puede abrirla.
No es teoría: ya hubo víctimas reales
Esto no se quedó en un informe. Han salido a la luz casos de plataformas de vibe coding donde quedaron expuestas credenciales y datos accesibles para quien supiera mirar. Cuando generas a toda velocidad y nadie revisa, un descuido no se queda en tu pantalla: se va a producción, donde lo encuentra el mundo. La velocidad sin red de seguridad no es velocidad: es una caída en cámara lenta.
La cura no es dejar de usar IA — es ponerle un guardián
La respuesta no es volver a programar todo a mano (eso ya no tiene sentido). La respuesta es sumar una segunda mente que revise lo que la IA construyó, antes de que llegue a producción: que cace el secreto expuesto, la consulta que filtra datos, el endpoint sin proteger. Esa cultura — construir rápido pero con un guardián de seguridad encima — es lo que separa un proyecto serio de un accidente esperando a pasar.
Cómo lo pensamos nosotros
En NeuralOS partimos de una convicción: la disciplina de seguridad no debería ser un lujo para expertos, sino algo que viene de serie. Construir con IA tiene que ser rápido Y seguro, no una cosa a costa de la otra. De hecho, esa idea nos llevó a crear y regalar un guardián de seguridad de código abierto — porque creemos que cazar el bug y traer el arreglo debería estar al alcance de cualquiera que construya con IA, no solo de quien puede pagar un equipo de seguridad.