La inteligencia artificial creó un diluvio de código y las empresas no saben qué hacer con él
El desarrollo de software entró en una nueva era, y vino con una factura bastante salada. Una empresa del sector financiero que adoptó Cursor, herramienta de inteligencia artificial enfocada en escritura de código, vio su producción saltar de 25 mil a 250 mil líneas por mes.
Suena increíble, ¿verdad?
Pero la otra cara de esta historia es que ese salto de 10x creó un backlog de 1 millón de líneas de código esperando revisión de seguridad.
Quien sacó a la luz este dato fue Joni Klippert, cofundadora y CEO de StackHawk, startup especializada en seguridad que trabajaba directamente con esa empresa.
Según ella, el problema va más allá del volumen.
La cantidad pura de código que se está entregando, y el aumento en las vulnerabilidades, es algo con lo que simplemente no pueden mantenerse al día.
Y ese ritmo acelerado no se queda solo dentro del equipo técnico. Áreas como ventas, marketing y soporte también empezaron a sentir la presión, generando, en palabras de la propia Joni, mucho estrés en toda la operación. 😬
Lo que este caso revela es que la promesa de productividad de la inteligencia artificial vino acompañada de un riesgo que mucha gente no previó, y las empresas todavía están tratando de entender el tamaño real del problema.
Cuando producir más rápido se convierte en un problema de seguridad
La lógica parece simple: si una herramienta de inteligencia artificial consigue multiplicar por diez la cantidad de código que un equipo entrega, el negocio crece más rápido, los productos llegan antes al mercado y todos salen ganando. Esa narrativa es real y tiene fundamento, pero ignora un detalle crítico que se está haciendo cada vez más evidente en el día a día de los equipos de desarrollo de software: producir más no significa producir mejor, y en el universo de la tecnología esa diferencia puede salir cara.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
El volumen adicional de código generado por herramientas de IA necesita pasar por el mismo filtro de calidad y seguridad que cualquier otro código escrito manualmente. Cuando el ritmo de entrega se dispara, la capacidad de revisión simplemente no logra seguir el paso a la misma velocidad. Es como abrir todos los grifos de una casa al mismo tiempo y esperar que un único desagüe sea capaz de drenar todo sin desbordarse.
El caso de la empresa financiera citado por Joni Klippert es un ejemplo concreto de este desfase. Con 1 millón de líneas esperando análisis de seguridad, el equipo responsable de identificar y corregir vulnerabilidades se encontró frente a una fila que crece más rápido de lo que puede procesar. Este tipo de situación genera una presión silenciosa dentro de las organizaciones: los desarrolladores entregan más, los gestores quedan satisfechos con los números de productividad, pero en el fondo existe una capa creciente de riesgo acumulado que nadie consigue dimensionar con claridad.
Y lo peor es que, mientras ese backlog no se revisa, el código puede estar corriendo en producción, exponiendo sistemas y datos a amenazas reales. En el sector financiero, donde datos sensibles de clientes y transacciones están en juego, esa exposición adquiere proporciones aún más preocupantes.
Las herramientas de IA no sustituyen las buenas prácticas
Vale recordar que herramientas de inteligencia artificial como Cursor, GitHub Copilot y otras similares no fueron diseñadas para sustituir las buenas prácticas de desarrollo de software. Aceleran la escritura, sugieren soluciones y reducen el tiempo dedicado a tareas repetitivas, pero no pueden garantizar que el código generado esté libre de fallos o vulnerabilidades.
El modelo de lenguaje que alimenta estas herramientas fue entrenado con enormes cantidades de código disponible en internet, incluyendo código con bugs, malas prácticas e incluso fallos de seguridad conocidos. Esto significa que, por más impresionante que sea la salida de estas herramientas, todavía necesita pasar por la mirada crítica de un desarrollador experimentado antes de ir a producción.
Este punto muchas veces se pierde en la euforia por las ganancias de productividad. Los números son seductores, pasar de 25 mil a 250 mil líneas por mes es algo que cualquier gestor de tecnología mira con brillo en los ojos. Pero cuando la cuenta de la seguridad llega, el panorama cambia de figura rápidamente.
El impacto de las vulnerabilidades más allá del equipo de desarrollo
Un punto que llama la atención en el relato de Joni Klippert es que el problema no se quedó restringido al equipo técnico. Cuando el ritmo de entrega de código aumenta drásticamente y los procesos de seguridad no logran seguir el paso, el estrés se esparce por toda la organización.
Equipos de ventas necesitan responder a clientes sobre la confiabilidad de los sistemas. Equipos de soporte lidian con incidentes que podrían haberse evitado. Equipos de marketing enfrentan el desafío de comunicar innovación mientras los bastidores acumulan deuda técnica. Este efecto cascada se subestima muchas veces cuando las empresas planifican la adopción de herramientas de inteligencia artificial en el proceso de desarrollo de software.
El relato original publicado por el The New York Times refuerza exactamente esto: a medida que el desarrollo de software se aceleró, departamentos como ventas, marketing y soporte al cliente se vieron forzados a aumentar el ritmo también, creando lo que Klippert describió como mucho estrés generalizado por toda la empresa.
No todas las vulnerabilidades son iguales
Las vulnerabilidades generadas por este proceso acelerado tampoco son simples de categorizar. Algunas son errores clásicos que cualquier revisión automatizada consigue capturar, como:
- Inyecciones de SQL
- Fallos de autenticación
- Exposición de datos sensibles en logs
- Configuraciones de permisos inadecuadas
Pero otras son más sutiles y dependen del contexto, como lógicas de negocio implementadas de forma incorrecta o dependencias de terceros introducidas por el código generado por la IA que no pasaron por evaluación de riesgo. Cuando el volumen crece demasiado rápido, la capacidad de revisar ese segundo tipo de problema cae drásticamente, porque exige atención humana cualificada y tiempo, dos recursos que se vuelven escasos exactamente en el momento en que la productividad se dispara.
La trampa de la falsa sensación de seguridad
Otro factor que complica el panorama es la falsa sensación de seguridad que la automatización puede crear. Cuando un desarrollador escribe código manualmente, tiende a ser más consciente de lo que está haciendo y del riesgo asociado a cada decisión. Cuando la inteligencia artificial escribe, existe una tendencia natural a confiar más en el resultado. Al fin y al cabo, la herramienta parece segura y las pruebas superficiales pasan sin grandes alertas.
Este comportamiento fue identificado en estudios sobre el uso de asistentes de código, y representa un riesgo real para el proceso de desarrollo de software en cualquier organización que adopte estas herramientas sin un plan claro de gobernanza y revisión. Es como conducir un coche con piloto automático y dejar de prestar atención a la carretera: la mayor parte del tiempo funciona, pero cuando algo sale mal, las consecuencias pueden ser graves.
En el caso específico del sector financiero, donde regulaciones como la LOPD en España y el GDPR en Europa exigen estándares rigurosos de protección de datos, una vulnerabilidad no detectada puede resultar no solo en pérdidas financieras directas, sino también en multas regulatorias y daños a la reputación que tardan años en repararse.
El fenómeno del código en exceso no es un caso aislado
El caso relatado por el The New York Times puede parecer extremo, pero la verdad es que refleja una tendencia que se está extendiendo rápidamente por el mercado tecnológico. A medida que las herramientas de inteligencia artificial generativa se vuelven más accesibles y sofisticadas, empresas de todos los tamaños están adoptando asistentes de código para ganar velocidad.
El problema es que la infraestructura de revisión y seguridad de la mayoría de estas empresas fue dimensionada para el ritmo antiguo de producción. Cuando el volumen de código se multiplica por diez de la noche a la mañana, los procesos existentes simplemente colapsan. Es como reformar una carretera para soportar diez veces más coches sin construir puestos de fiscalización proporcionales.
Este desfase entre velocidad de producción y capacidad de revisión está creando lo que muchos especialistas ya llaman deuda técnica acelerada por IA. A diferencia de la deuda técnica tradicional, que se acumula gradualmente a lo largo de meses o años, este nuevo tipo de deuda puede formarse en semanas, haciendo la remediación mucho más urgente y compleja.
Qué pueden hacer las empresas ante este escenario
La respuesta a este problema no es simplemente abandonar las herramientas de inteligencia artificial o volver a escribir todo manualmente. Eso sería ignorar un avance real de productividad que, bien gestionado, representa una ventaja competitiva enorme.
Herramientas que usamos a diario
El camino más inteligente pasa por integrar el análisis de seguridad directamente en el flujo de desarrollo de software, lo que la industria llama enfoque DevSecOps. En este modelo, las verificaciones de vulnerabilidades no ocurren al final del proceso, cuando el backlog ya se ha acumulado, sino en cada etapa, desde el momento en que el código se escribe hasta el despliegue en producción.
Herramientas como la propia StackHawk existen exactamente para eso, ayudando a los equipos a detectar problemas de seguridad de forma continua y automatizada, sin depender exclusivamente de revisiones manuales tardías. La idea es que la seguridad acompañe la velocidad de la producción, y no que se quede atrás esperando su turno en la fila.
El cambio de cultura es tan importante como el cambio de herramientas
Además de la integración técnica, existe una cuestión de cultura organizacional que necesita abordarse. Equipos que adoptan inteligencia artificial para escribir código necesitan entender que la responsabilidad por la calidad y la seguridad de lo que se entrega sigue siendo humana.
La IA es una herramienta poderosa, pero no tiene contexto sobre el negocio, no conoce los requisitos de cumplimiento de la empresa y no sabe qué datos son más críticos de proteger. Esa capa de conocimiento necesita ser aplicada por los desarrolladores y arquitectos que revisan lo generado, y esto exige:
- Tiempo dedicado a la revisión de código generado por IA
- Formación continua sobre prácticas de seguridad
- Procesos claros de gobernanza para la adopción de herramientas de IA
- Métricas que vayan más allá de la cantidad de líneas entregadas
- Comunicación transparente entre equipos técnicos y de negocio
Muchas empresas todavía no han estructurado adecuadamente estos elementos para la nueva realidad del desarrollo de software asistido por IA. Y mientras esa estructuración no ocurre, el riesgo sigue acumulándose silenciosamente en los repositorios de código.
Una señal de alerta para toda la industria
El caso relatado por Joni Klippert es una señal de alerta que va más allá de una empresa específica del sector financiero. Representa un patrón que tiende a repetirse en diferentes industrias a medida que la adopción de herramientas de inteligencia artificial para desarrollo de software sigue creciendo a ritmo acelerado.
La velocidad de entrega va a aumentar. Los backlogs de revisión se van a acumular. Las vulnerabilidades se van a multiplicar. A menos que las organizaciones inviertan de forma proporcional en procesos, herramientas y capacitación orientados a la seguridad.
El desafío no es frenar la innovación, sino garantizar que ocurra de forma sostenible y responsable. La inteligencia artificial trajo una capacidad de producción de código sin precedentes, y ahora les toca a las empresas construir los mecanismos necesarios para que esa producción no se transforme en una bomba de relojería de vulnerabilidades. El equilibrio entre velocidad y seguridad será, sin duda, uno de los temas más importantes de la ingeniería de software en los próximos años. 🚀
