La velocidad con la que la IA escribe código supera ahora la capacidad de revisión de los equipos de seguridad. Un nuevo estudio de la Linux Foundation, patrocinado y participado por ActiveState, muestra que el 58% de los equipos publican código más rápido de lo que los controles de seguridad pueden seguir; al mismo tiempo, el 60% de los encuestados indicaron que los asistentes de programación basados en IA han aumentado la cantidad de paquetes externos en sus bases de código. Sin embargo, los equipos revisan solo aproximadamente la mitad de las veces las dependencias indirectas, conocidas como "dependencias transitivas", introducidas por estos paquetes.
ActiveState es el patrocinador y contribuyente de esta nueva investigación. La investigación es respaldada por la Open Source Security Foundation (OpenSSF) y la LF AI & Data Foundation. ActiveState dio a conocer el lunes los resultados del estudio "State of AI Impact on Software Security and Cybersecurity 2026". El estudio indica que existe una brecha creciente entre la velocidad del desarrollo de software impulsado por IA y la capacidad de las organizaciones para proteger la seguridad del código producido.
Estudios indican que, a medida que la IA acelera simultáneamente la generación de código y la detección de vulnerabilidades, estos desafíos se vuelven más urgentes, y las organizaciones tienen cada vez menos tiempo para identificar y corregir problemas antes de que los atacantes los exploten. La vulnerabilidad PHP2Shell de octubre de 2026 puso de manifiesto esta urgencia: pocas horas después de la divulgación de la vulnerabilidad, se lanzaron parches de emergencia y se reportaron intentos de explotación. Los estudios señalan que, a medida que la velocidad de identificación y explotación de vulnerabilidades continúa aumentando, las organizaciones enfrentan una presión creciente para asegurar que las revisiones de seguridad, la auditoría de dependencias y las correcciones puedan mantener el ritmo.
La encuesta cubrió a 172 profesionales de seguridad de empresas y proyectos de código abierto. También se descubrió que la IA es parte de la solución, pero con ciertos compromisos. Los encuestados indicaron que el 30% de las vulnerabilidades detectadas en el último año fueron identificadas mediante herramientas asistidas por IA; el 69% de los encuestados afirmaron que estas herramientas mejoraron significativamente su postura de seguridad. En promedio, las herramientas de IA aceleraron el trabajo de seguridad en un 17%, pero los falsos positivos en vulnerabilidades aumentaron la carga de trabajo de los profesionales en un 30%, lo que subraya la necesidad de equilibrar la eficiencia impulsada por la IA con una supervisión de seguridad efectiva.
Abby Kearns, CEO de ActiveState, dijo: "Los asistentes de programación de IA no solo escriben código, también seleccionan tus dependencias, y este estudio muestra que los equipos revisan aproximadamente la mitad de lo que sigue. Esto coincide con lo que escuchamos semanalmente de nuestros clientes. Ralentizar a los desarrolladores no resuelve el problema. La solución es determinar antes de que el código entre en el repositorio qué componentes son confiables, para que los desarrolladores y sus herramientas de IA puedan comenzar con componentes ya aprobados por el equipo de seguridad."
Otros hallazgos principales incluyen:
- Las habilidades están en riesgo. El 82% de los encuestados están de acuerdo en que depender excesivamente de herramientas de IA debilita las habilidades de seguridad de los desarrolladores.
- La preocupación supera la preparación. Para cada una de las amenazas relacionadas con la IA evaluadas, más profesionales expresaron preocupación que aquellos que creyeron estar preparados. La brecha más grande se observó en la automatización de IA para la generación de explotaciones y pruebas de fuzz, con una diferencia de 41 puntos porcentuales.
- La cadena de suministro ocupa el primer lugar en la lista de preocupaciones. Los ataques a la cadena de suministro son el problema más preocupante para los expertos en seguridad, con un 93%; seguidos por la inyección de indicaciones, con un 90%; y la carga de mantenimiento derivada de actualizaciones frecuentes de componentes, con un 87%.
- La asignación de responsabilidades no está clara. Solo el 30% de los equipos tienen puestos dedicados específicamente a las amenazas de seguridad relacionadas con IA, y aproximadamente un tercio de los equipos cuentan con políticas de seguridad formales que incluyen IA.
- La asignación clara de responsabilidades genera resultados. En los equipos con puestos especializados en seguridad de IA, el 75% indicó que está adecuadamente preparado para ataques adversariales contra sistemas de IA; en comparación, este porcentaje es del 50% entre todos los encuestados.
- La revisión humana no es un requisito predeterminado. Entre los equipos con políticas de seguridad de IA, solo el 57% requiere revisión humana del código generado por IA.
Un estudio indica que estos hallazgos en conjunto sugieren que, a medida que aumenta la adopción de IA, es necesario definir con mayor claridad la responsabilidad en materia de seguridad y fortalecer la gobernanza. El estudio también señala que establecer puestos especializados, elaborar políticas claras y implementar correctamente las herramientas están relacionados con un mayor nivel de preparación; sin embargo, esta encuesta no demuestra que estas prácticas hayan causado dichas diferencias.
Laura Guazzelli, arquitecta de seguridad de OpenSSF para sistemas AI/ML/LLM/Agentic, dijo: "A medida que la IA acelera el desarrollo de software, las organizaciones también deben gobernar y proteger el código producido con la misma cautela. Esto comienza con la comprensión de en qué partes de la cadena de suministro de software la IA introduce riesgos, clarificar quién es responsable de abordar estos riesgos y asegurar que las prácticas de seguridad sigan el ritmo de los cambios en la forma en que se construye el software."
El informe recomienda que las organizaciones designen responsables claros para las amenazas de seguridad relacionadas con la IA, elaboren políticas formales de seguridad de la IA e incorporen revisiones humanas del código generado, al tiempo que fortalecen el control sobre dependencias directas y transitivas. Sobre la base de estos hallazgos, ActiveState recomienda implementar gobernanza en el momento de la introducción de componentes de código abierto, más allá del escaneo y la revisión, permitiendo que los equipos de seguridad determinen previamente qué componentes pueden ingresar a la cadena de suministro de software, antes de que los desarrolladores o asistentes de IA los incorporen.
El informe completo "Estado actual del impacto de la IA en la seguridad del software y la ciberseguridad en 2026" está disponible en el sitio web de Linux Foundation, e incluye hallazgos de la investigación y recomendaciones prácticas: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Sobre ActiveState
ActiveState indica que la empresa se compromete a garantizar la seguridad de la cadena de suministro de software desde la fuente en la era de la codificación con IA. Mediante ActiveState Curated Catalog, un repositorio privado y revisado de componentes de código abierto, los equipos de seguridad pueden decidir qué componentes pueden ingresar al software empresarial antes de que sean introducidos por desarrolladores o asistentes de programación con IA. La empresa afirma que esto otorga control a los equipos de seguridad, al tiempo que mantiene la velocidad de desarrollo de los equipos de ingeniería. Curated Catalog es compatible con los repositorios de artefactos, escáneres y asistentes de programación con IA que los equipos ya están utilizando. Más información en activestate.com.
Fuente del mensaje: ActiveState