El código ya viaja a la velocidad del pensamiento. La seguridad, no ha salido todavía del garaje.

Este artículo está basado en el reportaje “Software Is Now Written at the Speed of Thought. Security Isn’t.”, publicado originalmente en BleepingComputer.

El sueño de la fricción cero tiene pesadillas

Hubo un tiempo en que entre tener una idea y desplegarla en producción existía una distancia que se medía en semanas, reuniones, revisiones y, si el universo era benevolente, en algún que otro code review donde alguien con ojeras preguntaba: “¿y esto es seguro?”. Ese espacio incómodo, ese valle de burocracia y fricción, era exactamente donde nacían muchas de las decisiones de seguridad que hoy damos por sentadas.

La IA generativa aplicada al desarrollo de software ha venido a colapsar ese valle. No a aplanarlo. A colapsar lo. Lo que antes tardaba días, ahora tarda minutos. Lo que antes requería un equipo, ahora lo resuelve un prompt bien formulado y un modelo con ganas de ayudar. Es, en términos de productividad pura, algo cercano a un milagro tecnológico. Y como casi todos los milagros, viene con letra pequeña.

Arquitectura de una catástrofe silenciosa

Pensemos en cómo se construía software hace una década. El ciclo tenía sus propios rituales: diseño, revisión de arquitectura, implementación, pruebas, despliegue. Cada transición entre fases era un punto de control natural, casi involuntario, donde alguien —un arquitecto, un líder técnico, un DevOps con cicatrices— hacía la pregunta correcta en el momento correcto. No porque el proceso estuviera diseñado explícitamente para la seguridad, sino porque el propio rozamiento del proceso obligaba a parar y pensar.

La IA ha eliminado ese rozamiento con la precisión quirúrgica de un láser. Y al hacerlo, no solo ha acelerado el desarrollo: ha evaporado los momentos donde la seguridad solía colarse. No hay pausa para pensar en la gestión de secretos si el modelo ya te ha generado el archivo de configuración. No hay debate sobre autenticación si la pantalla de login apareció en tu editor en cuestión de segundos. El código llega tan rápido que la mente crítica no tiene tiempo de activarse.

Es el equivalente digital de construir un rascacielos a tal velocidad que nadie recuerda haber instalado las salidas de emergencia.

Vibe coding: el término que nadie quería, pero todos necesitaban

El fenómeno tiene ya nombre propio: vibe coding. Acuñado por Andrej Karpathy —uno de los padres fundadores de la IA moderna—, describe esa práctica de programar guiándose por la intuición y el flujo, dejando que el modelo rellene los huecos técnicos mientras tú te concentras en qué quieres construir, no en cómo. El resultado es código que funciona. Código que, muchas veces, ni siquiera entiendes del todo. Código que un modelo entrenado con millones de repositorios públicos —incluidos millones de repositorios con vulnerabilidades conocidas— ha generado con la mejor de sus intenciones y la peor de sus garantías.

No es que la IA escriba código malicioso. El problema es más sutil y más peligroso: escribe código plausible. Código que parece correcto, que compila, que pasa los tests básicos y que, enterrada en algún rincón de su lógica, tiene una superficie de ataque que ningún humano revisó porque ningún humano la escribió conscientemente.

El código generado por IA no hereda tus buenas intenciones. Hereda los patrones estadísticos de todo lo que se ha escrito antes, lo bueno y lo terrible.

La paradoja del desarrollador aumentado

Aquí está la trampa cognitiva en la que estamos cayendo colectivamente: asumimos que si el desarrollador es más productivo, el producto final será mejor en todos los sentidos. Más rápido, sí. Más funcional, probablemente. ¿Más seguro? No hay ninguna razón para pensarlo automáticamente.

Un desarrollador junior con acceso a herramientas de IA puede construir hoy lo que hace tres años solo podía construir un equipo senior con experiencia acumulada. Eso es genuinamente emocionante. Pero ese desarrollador junior no ha adquirido, junto con el acceso a la herramienta, los años de contexto que le permitirían a ese equipo senior saber qué preguntas hacer. No sabe que esa función de autenticación generada automáticamente no está comprobando el tiempo de expiración del token. No sabe que ese endpoint generado en cinco minutos está exponiendo datos que no debería.

La IA democratiza la capacidad de construir. No democratiza el criterio para construir bien.

¿Quién custodia al custodio?

La industria de la ciberseguridad lleva años intentando integrarse en los flujos de desarrollo —el famoso DevSecOps, esa promesa de que la seguridad dejaría de ser el departamento que dice que no y se convertiría en parte del ritmo creativo del equipo—. Con la aceleración impuesta por la IA, ese esfuerzo de integración corre el riesgo de quedarse obsoleto antes de haber madurado del todo.

Si el código se despliega a la velocidad del pensamiento, los controles de seguridad necesitan operar a esa misma velocidad. Los análisis estáticos tradicionales, los procesos de revisión manual, las auditorías periódicas: todo ese ecosistema está calibrado para un ritmo de desarrollo humano que ya no existe. El nuevo escenario exige herramientas de seguridad que sean también, en cierta medida, IA nativa. Que puedan revisar en tiempo real lo que un modelo genera, con la misma fluidez con que lo genera.

El problema es que esas herramientas existen, pero su adopción va, inevitablemente, por detrás de la adopción de las herramientas de generación. Siempre ha sido así. La cerradura siempre llega tarde respecto a la puerta.

El verdadero coste de la velocidad

Hay una frase que se repite mucho en las conversaciones sobre IA y productividad: “mueve rápido y construye cosas”. Es una versión más optimista y menos caótica del mantra original de Zuckerberg. Pero en materia de seguridad, moverse rápido sin los mecanismos adecuados no solo te expone a ti: expone a cada usuario que confíe en lo que has construido.

La aceleración del desarrollo impulsada por IA es inevitable. No estamos ante una tendencia que pueda revertirse ni ante una moda que vaya a pasar. Es un cambio estructural en cómo se crea software, tan definitivo como lo fue la aparición de los frameworks o el cloud computing. La pregunta relevante no es si debemos adoptarla, sino a qué precio estamos dispuestos a hacerlo.

Porque el software ya viaja a la velocidad del pensamiento. Y el pensamiento, cuando va demasiado rápido, suele olvidarse de cerrar la puerta con llave.