La programación con IA amplía la brecha de seguridad del software, según un artículo

Los asistentes de programación con IA ya no son experimentales: en las organizaciones que los han adoptado, la IA es responsable de aproximadamente la mitad del código incorporado. Sin embargo, según Chris Wysopal, Chief Security Evangelist de Veracode, que escribe para TechRadar, el rendimiento de seguridad del código generado es más débil, aunque pueda superar las comprobaciones sintácticas.

Wysopal cita una tasa de aprobación del 99,9% para el código sintácticamente correcto, frente a una tasa media de aprobación en seguridad del 56%. Afirma que aproximadamente el 44% de las tareas de generación de código evaluadas introduce una vulnerabilidad conocida. Las vulnerabilidades de software también son el principal punto de entrada de las brechas, con un 31%, por delante del robo de credenciales.

Los resultados de seguridad varían según el modelo y el tipo de vulnerabilidad. El modelo más sólido de los evaluados obtuvo una tasa de aprobación en seguridad del 68%, mientras que seis de los 11 modelos se situaron entre el 50% y el 53%. Los modelos aprobaron las pruebas de inyección SQL con un 83% y las de algoritmos criptográficos inseguros con un 87%, pero alcanzaron un 15% en scripting entre sitios y un 12% en inyección en registros.

Wysopal sostiene que las organizaciones deberían tener en cuenta el riesgo al elegir modelos y verificar el código generado dentro del contexto de la aplicación durante todo el desarrollo. Señala el análisis estático, las políticas de seguridad exigibles, el análisis contextual y las pruebas independientes como métodos para detectar problemas antes de fusionar el código.

También afirma que la deuda de seguridad afecta al 82% de las organizaciones y que el 60% tiene deuda de seguridad crítica. Recomienda priorizar las correcciones según la posibilidad de explotación, la criticidad de la aplicación y el impacto empresarial, y señala que las soluciones propuestas por IA aún deben probarse y validarse. La conclusión del artículo es que las empresas necesitan dejar constancia de lo que se probó, se corrigió y se aceptó conscientemente antes de que el código generado por IA llegue a producción.