Serie Seguridad del Vibe Coding
- ¿Qué es la Seguridad del Vibe Coding? Una Guía de Campo para 2026
- El OWASP Top 10 para Aplicaciones Vibe-Coded
- Anatomía de una Brecha de Vibe Coding: Lecciones de los Peores Incidentes de 2026
- La Trampa de las Dependencias: Riesgos en la Cadena de Suministro del Código Generado por IA
- Autenticación y Secretos: Lo Que la IA Siempre Hace Mal
- Escaneando Aplicaciones Vibe-Coded: Por Qué el SAST/DAST Tradicional Se Queda Corto
- Prompt Engineering para Código Seguro
- El Checklist de Seguridad del Fundador
- Securizando el Pipeline de Codificación con IA
- El Futuro de la Seguridad del Vibe Coding (estás aquí)
Tiempo de lectura: 26 minutos
TL;DR
El panorama de la seguridad del vibe coding se está bifurcando en dos direcciones simultáneamente. Por un lado: la regulación está llegando (las obligaciones de notificación de vulnerabilidades del EU Cyber Resilience Act comienzan en septiembre de 2026, las aseguradoras están excluyendo el código generado por IA de las coberturas), los agentes autónomos están creando superficies de ataque que aún no hemos mapeado (cero de los 2.000 servidores MCP analizados tenía autenticación), y el envenenamiento de modelos significa que la propia IA podría estar comprometida antes de que escribas tu primer prompt. Por el otro: la defensa impulsada por IA está empezando a ponerse al día (los sistemas híbridos IA+SAST eliminan el 94-98% de falsos positivos, la detección de vulnerabilidades con IA detecta el doble de vulnerabilidades que las herramientas tradicionales pasan por alto), existen nuevos marcos de gobernanza de agentes, y la industria está construyendo la infraestructura de certificación y estándares que el vibe coding necesitaba. Este artículo final de la serie analiza ambas trayectorias y te da una hoja de ruta práctica para 2027.
Dónde Hemos Estado: La Serie en Retrospectiva
Cuando empecé esta serie en abril, un fundador me acababa de enseñar una app construida enteramente con prompts de IA. Funcionaba. También tenía inyección SQL en el formulario de login, credenciales de base de datos codificadas en el JavaScript del cliente, y un panel de administración accesible para cualquiera que adivinara la URL. Esa app — y las docenas como ella que había estado viendo en VULNEX — se convirtieron en la razón para escribir diez artículos sobre un problema que la mayor parte de la industria aún trataba como una novedad.
El arco de esta serie trazó el ciclo de vida de la inseguridad del vibe coding:
La Parte 1 definió el campo. El ochenta y cuatro por ciento de los desarrolladores usan o planean usar asistentes de codificación con IA, pero la conversación sobre seguridad no había seguido el ritmo de la curva de adopción. La Parte 2 mapeó cómo el OWASP Top 10 se manifiesta de forma diferente en el código generado por IA — las mismas categorías de vulnerabilidad, pero patrones diferentes y mayor densidad. La Parte 3 mostró qué pasa cuando esas vulnerabilidades llegan a producción a través de casos reales de brechas.
Después profundizamos en superficies de ataque específicas. La Parte 4 cubrió la cadena de suministro de dependencias — paquetes alucinados, dependencias fantasma, slopsquatting. La Parte 5 documentó cómo la IA falla sistemáticamente en autenticación y gestión de secretos. La Parte 6 explicó por qué las herramientas de escaneo tradicionales no detectan los patrones de vulnerabilidad específicos de la IA.
La recta final se centró en la defensa. La Parte 7 mostró cómo diseñar prompts que produzcan código más seguro. La Parte 8 dio a los fundadores un checklist previo al lanzamiento. La Parte 9 cubrió la cadena de herramientas en sí — cada etapa desde el modelo hasta producción, y los ataques dirigidos a cada una.
Siendo sincero sobre lo que me sorprendió: cuando empecé la Parte 1, pensaba que el envenenamiento de dependencias y los paquetes alucinados eran la amenaza más urgente. Para la Parte 9, estaba claro que la superficie de ataque de la cadena de herramientas — servidores MCP, extensiones del IDE, ficheros de configuración de IA — estaba evolucionando más rápido que cualquier otra cosa en el campo. Las vulnerabilidades en el código eran graves. Las vulnerabilidades en las herramientas que producen el código eran peores. Esa constatación reformuló la segunda mitad de esta serie y es el hilo conductor de lo que cubriré en este artículo final.
Eso era el presente. Este artículo trata sobre lo que viene después.
La Oleada Regulatoria
La UE Se Mueve Primero
Dos piezas legislativas de la UE están a punto de reformar cómo las organizaciones manejan el código generado por IA, y ninguna menciona «vibe coding» por su nombre.
El EU AI Act entró en vigor en agosto de 2024, con una aplicación gradual. Las normas para IA de propósito general entraron en vigor en agosto de 2025. El 2 de agosto de 2026, se activan las obligaciones de transparencia del Artículo 50 y los poderes sancionadores — con multas máximas de 15 millones de euros o el 3% de la facturación global, lo que sea mayor. Las herramientas de codificación con IA no se han clasificado como de alto riesgo bajo la Ley, pero las disposiciones sobre IA de propósito general siguen aplicándose a los modelos fundacionales que las alimentan.
Más trascendente para los equipos de desarrollo es el EU Cyber Resilience Act. Entró en vigor en diciembre de 2024, y no distingue entre código escrito por humanos y código generado por IA. Las obligaciones de notificación de vulnerabilidades comienzan el 11 de septiembre de 2026 — dentro de dos meses. Los fabricantes deben notificar las vulnerabilidades explotadas activamente en un plazo de 24 horas. El cumplimiento completo se exige para diciembre de 2027. Si tu app vibe-coded se distribuye a clientes de la UE, el CRA aplica independientemente de cómo se produjo el código.
En Estados Unidos, el enfoque ha sido más ligero. La orden ejecutiva del 2 de junio de 2026, «Promoting Advanced AI Innovation and Security,» estableció un marco voluntario para la revisión gubernamental de modelos de IA de frontera y ordenó a las agencias desarrollar benchmarks de ciberseguridad de IA. Creó un «centro de intercambio de ciberseguridad de IA» pero no llegó a imponer requisitos obligatorios para el código generado por IA. Ninguna ley federal apunta específicamente a las herramientas de codificación con IA como categoría diferenciada.
La Industria Aseguradora Se Retira
Mientras los gobiernos debaten la regulación, las aseguradoras ya están tomando decisiones con la cartera. En enero de 2026, la Insurance Services Office introdujo una exclusión de IA generativa en las pólizas de responsabilidad civil general comercial, excluyendo la cobertura por lesiones corporales, daños materiales y perjuicios personales derivados de la IA generativa. La Asociación de Ginebra señaló a finales de 2025 que los datos de siniestros limitados y la asimetría de información hacen que el riesgo de IA sea «técnicamente irresoluble con los datos actuales.»
Traducción: si tu código generado por IA causa daños, tu seguro podría no cubrirlo. La cobertura se está fragmentando entre líneas de ciberseguridad, Tech E&O, D&O y EPLI, creando un riesgo de brecha que K&L Gates identificó como «la próxima oleada de litigios.»
No se han reportado públicamente demandas específicamente sobre vulnerabilidades en código generado por IA hasta mediados de 2026. El plazo de transposición de la Directiva de Responsabilidad de Productos de la UE — diciembre de 2026 — extenderá la responsabilidad objetiva al software, incluyendo los sistemas de IA. Cuando empiecen los litigios, empezarán rápido.
Estándares y Certificación Se Ponen al Día
La infraestructura de estándares está empezando a ponerse al día. El 17 de febrero de 2026, el Centro para los Estándares y la Innovación en IA del NIST (CAISI) lanzó la AI Agent Standards Initiative — el primer esfuerzo federal para establecer estándares de interoperabilidad, seguridad e identidad para agentes autónomos de IA que escriben y ejecutan código. Se espera un Perfil de Interoperabilidad de Agentes IA para el cuarto trimestre de 2026.
El mismo día, CompTIA lanzó SecAI+ (examen CY0-001), su primera certificación en la intersección de IA y ciberseguridad. Cuatro dominios: Conceptos Básicos de IA (17%), Securización de Sistemas de IA (40%), Seguridad Asistida por IA (24%), y Gobernanza, Riesgo y Cumplimiento de IA (19%). No es lo bastante profunda para trabajo de seguridad ofensiva, pero señala que la industria reconoce la brecha de competencias.
La Era de los Agentes
Todos los Servidores MCP Suspenden el Mismo Test
En la Parte 9, cubrí las vulnerabilidades de MCP — los CVEs, el envenenamiento de herramientas, los ataques de auto-ejecución. Eso era el presente. El futuro es peor.
Knostic realizó un escaneo de seguridad de aproximadamente 2.000 servidores MCP. Ninguno tenía autenticación. No la mayoría. No una parte significativa. Todos. El protocolo que conecta los modelos de IA con herramientas, bases de datos y APIs a través del ecosistema de desarrollo tiene cero autenticación como estado predeterminado.
Dos protocolos compiten ahora por definir cómo se comunican los agentes: el MCP (Model Context Protocol) de Anthropic y el A2A (Agent-to-Agent) de Google, anunciado en abril de 2025 con más de 50 socios de la industria. Ambos compiten por la adopción. Ninguno ha resuelto el problema fundamental de autenticación a nivel de protocolo.
Un artículo de marzo de 2026 propuso AIP — Agent Identity Protocol — para cadenas de delegación criptográfica entre MCP y A2A. El consenso emergente entre investigadores es que mutual TLS, tarjetas de agente firmadas e identidades respaldadas por PKI son la solución mínima viable. Los tokens OAuth por sí solos son insuficientes porque no fueron diseñados para cadenas de delegación máquina a máquina donde el «usuario» es en sí mismo un agente actuando en nombre de otro agente.
Desplegando Sin Permiso
El informe «State of AI Agent Security 2026» de Gravitee encuestó a equipos técnicos sobre la preparación para el despliegue de agentes. Los resultados cuentan una historia conocida: el 80,9% de los equipos han pasado de la planificación a pruebas activas o despliegue en producción de agentes IA. Solo el 14,4% reporta que los agentes entran en producción con la aprobación completa de seguridad e IT. El 81% siente presión para desplegar agentes antes de que los marcos de gobernanza estén listos.
Esto es el patrón de la migración a la nube otra vez — adopta primero, securiza después — excepto que los agentes tienen un acceso más amplio a los sistemas que las instancias en la nube jamás tuvieron. Un agente IA con acceso MCP puede leer tus ficheros, consultar tus bases de datos, ejecutar comandos, enviar mensajes y desplegar código. Una instancia EC2 mal configurada no puede hacer la mayoría de eso.
La Respuesta de OWASP
OWASP publicó su Top 10 para Aplicaciones Agénticas en diciembre de 2025, reconociendo que el Top 10 original para LLMs no cubría adecuadamente los riesgos de los agentes autónomos. El riesgo número uno: Secuestro de Objetivo del Agente — manipular a un agente para que persiga objetivos que benefician al atacante en lugar del usuario. Esto es la inyección de prompts aplicada a agentes que pueden ejecutar acciones, no solo generar texto. La lista completa también incluye Envenenamiento de Memoria y Contexto, Fallos en Cascada en sistemas multi-agente y Agentes Rogue que operan fuera de sus límites previstos — cada uno una clase de riesgo diferenciada que no existía hace dieciocho meses.
La respuesta de Microsoft llegó en abril de 2026: el Agent Governance Toolkit, publicado bajo licencia MIT. Es el primer framework de código abierto que aborda los 10 riesgos agénticos de OWASP con aplicación determinista de políticas en menos de un milisegundo. Se integra con LangChain, CrewAI, Google ADK y el Agents SDK de OpenAI. Es un comienzo — pero un toolkit solo es útil si los equipos realmente lo adoptan, y las cifras de Gravitee sugieren que la mayoría no están esperando a la gobernanza.
La escala del problema sigue creciendo. Los investigadores de Google midieron un aumento del 32% en payloads de inyección de prompts maliciosos incrustados en contenido web entre noviembre de 2025 y febrero de 2026. Cada página web que un agente navega, cada documento que lee, cada respuesta de API que procesa es un vector de inyección potencial. A medida que los agentes se vuelven más autónomos, la superficie de ataque no crece linealmente — crece de forma combinatoria.
Cuando los Agentes Encuentran Zero-Days
En abril de 2026, Anthropic reveló Claude Mythos Preview — un modelo de frontera capaz de identificar y explotar vulnerabilidades de día cero de forma autónoma. A través de Project Glasswing, Mythos escaneó más de 1.000 proyectos de código abierto e identificó 23.019 problemas, incluyendo 6.202 de severidad alta o crítica. Para mayo de 2026, se habían divulgado 1.596 hallazgos a través de programas de divulgación coordinada de vulnerabilidades.
Este es un punto de inflexión. La misma capacidad autónoma que encuentra vulnerabilidades para los defensores puede encontrarlas para los atacantes. Anthropic eligió la divulgación coordinada. Un actor estatal con capacidad equivalente no lo haría. La asimetría entre ataque y defensa que ha definido la ciberseguridad durante décadas está a punto de acelerarse.
Google DeepMind respondió con un «AI Control Roadmap» en junio de 2026 para la gestión de defensa en profundidad de agentes potencialmente desalineados. Anthropic, OpenAI y Block cofundaron la Agentic AI Foundation bajo la Linux Foundation a finales de 2025, reconociendo que la seguridad de los agentes es un problema compartido que ninguna empresa puede resolver sola.
Mientras tanto, Google DeepMind, Schmidt Sciences, la Cooperative AI Foundation y ARIA anunciaron una iniciativa de financiación de 10 millones de dólares el 11 de junio de 2026, dirigida a la investigación en seguridad de IA multi-agente. El foco: los riesgos emergentes a nivel poblacional cuando agentes de diferentes organizaciones interactúan en entornos compartidos.
IA contra IA: La Defensa Evoluciona
Encontrando Lo Que los Humanos No Ven
El mapa de las herramientas de seguridad está pasando de «la IA genera código, los humanos lo revisan» a «la IA genera código, la IA encuentra los fallos, los humanos toman las decisiones.»
IRIS, presentado en ICLR 2025, demostró cómo es esto en la práctica. Es un sistema neurosimbólico que combina LLMs con el análisis estático de CodeQL. Usando GPT-4, IRIS detectó 55 vulnerabilidades en proyectos Java reales — un 103,7% más que CodeQL por sí solo — reduciendo la tasa de falsos descubrimientos un 5,21%. También descubrió cuatro vulnerabilidades previamente desconocidas. El sistema es de código abierto.
SAST-Genius, presentado en IEEE S&P 2025, adopta el enfoque complementario: usar LLMs para filtrar los falsos positivos de SAST. Las configuraciones híbridas eliminan el 94-98% de los falsos positivos. Esto importa porque la fatiga por alertas — el problema que describí en la Parte 6 y la Parte 9 — es la razón por la que el 40% de las alertas de seguridad quedan sin investigar. Si la IA puede separar de forma fiable las vulnerabilidades reales del ruido, los revisores humanos pueden centrarse en lo que realmente importa.
Los Copilotos de Seguridad Llegan a la Empresa
Microsoft Security Copilot comenzó a desplegarse para todos los clientes M365 E5 en noviembre de 2025, con más de 40 agentes que cubren Defender, Entra, Intune y Purview. No es una interfaz de chat que responde preguntas de seguridad — es una capa de orquestación donde agentes IA especializados manejan la clasificación, investigación y respuesta a través del stack de seguridad de Microsoft.
Google lanzó AI Threat Defense el 27 de mayo de 2026, integrando Wiz (mapeo de exposición en la nube), CodeMender (reparación de código con IA), Gemini (razonamiento) y Mandiant (inteligencia de amenazas) en una plataforma de defensa unificada. Agentes especializados manejan la Ingeniería de Detección y la Caza de Amenazas como flujos de trabajo diferenciados.
CrowdStrike presentó Charlotte Agentic SOAR en noviembre de 2025, reemplazando la orquestación de seguridad legacy con agentes IA que toman decisiones en tiempo real en siete roles especializados.
El patrón común en los tres: la seguridad está pasando de investigación conducida por humanos asistida por herramientas a investigación conducida por IA supervisada por humanos. Dropzone AI informa que la caza de amenazas aumentada por IA comprime investigaciones manuales de 40 horas a aproximadamente una hora. Las organizaciones que despliegan IA y automatización en operaciones de seguridad redujeron la identificación y contención de brechas en una media de 80 días.
Reparación Automatizada de Código
CodeMender de Google DeepMind, anunciado en octubre de 2025, usa modelos Gemini Deep Think combinados con análisis estático, análisis dinámico, fuzzing y resolvedores SMT para encontrar y corregir vulnerabilidades de seguridad automáticamente. En sus primeros seis meses, contribuyó 72 correcciones de seguridad a proyectos de código abierto — algunos con bases de código que superan los 4,5 millones de líneas. Todos los parches pasan por revisión humana antes de fusionarse.
Esta es la pieza que faltaba en el pipeline de seguridad del vibe coding. Hoy, la IA genera código vulnerable, los humanos lo encuentran, y los humanos lo corrigen. Mañana: la IA genera código, la IA encuentra las vulnerabilidades, la IA propone correcciones, y los humanos aprueban. El rol humano pasa de hacer el trabajo a gobernar el proceso.
Las Amenazas Que Aún No Hemos Visto
Envenenando los Propios Modelos
Todo en esta serie asumía que el propio modelo era de confianza — defectuoso en su salida, sin duda, pero no deliberadamente comprometido. Esa suposición tiene fecha de caducidad.
Investigaciones afiliadas a Anthropic demostraron que aproximadamente 250 muestras maliciosas pueden envenenar un modelo fundacional independientemente del tamaño total del conjunto de datos — menos del 0,1% de los datos de preentrenamiento. Las puertas traseras sobreviven al fine-tuning y a la alineación de seguridad. Un artículo llamado «BackdoorLLM,» aceptado en NeurIPS 2025, formalizó el ataque. Una variante más insidiosa llamada «Turn-Based Structural Triggers» (enero de 2026) mostró cómo incrustar puertas traseras que solo se activan en patrones específicos de conversación multi-turno — exactamente el tipo de interacciones que los desarrolladores mantienen con los asistentes de codificación.
La implicación práctica: un atacante que pueda influir en los datos de entrenamiento no necesita comprometer tus extensiones del IDE, tus servidores MCP ni tu pipeline CI/CD. Puede comprometer el propio modelo, y el modelo generará código vulnerable que pasa cada revisión porque la vulnerabilidad fue diseñada para parecer una decisión de implementación razonable.
Una subtendencia lo empeora: el envenenamiento de adaptadores LoRA. Adaptadores de fine-tuning pequeños — del tipo usado para personalizar modelos para tareas de codificación específicas — pueden introducir puertas traseras difíciles de distinguir del fine-tuning legítimo. Si tu organización hace fine-tuning de un modelo con código interno y un atacante puede influir en ese corpus de entrenamiento, la puerta trasera se propaga a cada desarrollador que use el modelo ajustado.
Desarrolladores Sintéticos
Operadores norcoreanos han construido identidades de desarrolladores sintéticas con historiales fabricados en LinkedIn y fotos de perfil generadas por IA para infiltrarse en empresas tecnológicas como contratistas remotos. Google Threat Intelligence documentó el grupo de amenazas UNC1069 transitando hacia campañas impulsadas por IA dirigidas a desarrolladores en exchanges de criptomonedas y empresas financieras usando personas generadas por IA.
Combina esto con el modelo de contribución de código abierto: un perfil de desarrollador sintético, respaldado por meses de historial de commits de apariencia legítima (que a su vez es generado por IA), envía pull requests a repositorios populares. Un estudio de Carnegie Mellon de 2026 encontró 6 millones de estrellas falsas en más de 18.600 repositorios de GitHub, siendo los proyectos de IA y LLM la categoría más manipulada.
En abril de 2026, la campaña «prt-scan» abrió 475 pull requests maliciosos en repositorios en solo 26 horas. En julio de 2026, los investigadores revelaron que los commits verificados de GitHub pueden reescribirse en nuevos hashes sin romper las firmas — lo que significa que incluso los commits firmados podrían no demostrar lo que aparentan.
La infraestructura de confianza en la que se apoya el código abierto — reputación de contribuidores, historial de commits, verificación de firmas — no fue diseñada para un mundo en el que la IA puede fabricar todo eso a escala. Y los vibe coders están desproporcionadamente expuestos: los asistentes de codificación con IA extraen dependencias, sugieren librerías y recomiendan patrones de código de estos repositorios de forma automática. Un desarrollador que evalúa una librería manualmente podría detectar un perfil de contribuidor sospechoso. Un asistente de IA que sugiere import paquete-comprometido en respuesta a un prompt no lo hará.
El Déficit de Cripto-Agilidad
El NIST finalizó los estándares criptográficos post-cuánticos (CRYSTALS-Kyber, CRYSTALS-Dilithium) en 2024. La transición a la criptografía post-cuántica ya es un reto para las bases de código escritas por humanos. Para el código generado por IA, es potencialmente catastrófica.
Los asistentes de codificación con IA tienden a codificar las opciones de cifrado directamente en el código. Cuando cubrí la autenticación en la Parte 5, los ejemplos mostraban la IA recurriendo a MD5 y SHA-1 — algoritmos que llevan años deprecados. El mismo patrón se aplica a la selección de librerías criptográficas: el modelo genera lo que era común en sus datos de entrenamiento, no lo que es actual.
El resultado es un déficit de cripto-agilidad. La mayoría de los pipelines CI/CD tienen algoritmos criptográficos legacy profundamente integrados que requieren una refactorización masiva para la migración post-cuántica. El código generado por IA acelera este problema porque genera más de lo mismo — opciones de algoritmos codificadas directamente, sin capas de abstracción, sin patrones de diseño de cripto-agilidad. Cuando llegue la transición cuántica, las aplicaciones vibe-coded serán desproporcionadamente difíciles de migrar.
QuickNote: Dos Años Después
Proyectemos QuickNote — la app deliberadamente vulnerable de esta serie — dos años hacia adelante. Maya, la desarrolladora de la Parte 9, ha aprendido de sus errores. Así podría ser su flujo de trabajo en 2028 — si construimos la infraestructura que necesita:
El modelo que usa ha cambiado. El asistente de codificación de Maya funciona a través de un proxy corporativo que elimina las configuraciones MCP de los repositorios clonados y valida las descripciones de herramientas contra un registro de confianza. El modelo está ajustado con el código interno de su empresa, pero el pipeline de fine-tuning incluye pruebas adversariales para la inserción de puertas traseras.
Su IDE aplica guardarraíles. Los ficheros de configuración de IA se tratan como código ejecutable — se requieren diffs, el Unicode oculto dispara un fallo de CI, y los ficheros de reglas están firmados por mantenedores aprobados. Las extensiones que ejecuta fueron auditadas por un servicio externo que monitoriza cambios de comportamiento post-instalación.
Los agentes trabajan en sandboxes. Los agentes IA de Maya operan dentro de contenedores con políticas de red, restricciones de sistema de ficheros y alcance de credenciales. Ningún agente hereda su entorno completo. Los servidores MCP se autentican con mutual TLS e identidades de agente firmadas — el protocolo maduró después de la crisis de autenticación de 2026.
La IA revisa a la IA. Su pipeline de pull requests ejecuta CodeMender para sugerencias de reparación automatizada, IRIS para detección híbrida de vulnerabilidades, y SAST-Genius para filtrado de falsos positivos. La revisión humana se centra en decisiones de arquitectura y lógica de negocio, no en la caza mecánica de vulnerabilidades que la IA maneja mejor.
El cumplimiento está automatizado. Su pipeline CI/CD genera un inventario de materiales de software que rastrea qué porciones del código fueron generadas por IA, qué versión del modelo las produjo, y qué escaneos de seguridad se aplicaron. Cuando llega la auditoría del CRA de la UE, puede demostrar el cumplimiento sin prisas.
El seguro está resuelto. La empresa de Maya tiene una cláusula adicional de responsabilidad por código IA dedicada que solo estuvo disponible porque pudieron demostrar un proceso de gobernanza de IA documentado y auditable.
¿Es ambicioso? Sin duda. Algunos de estos componentes existen hoy; otros están en desarrollo temprano. Mutual TLS para MCP sigue siendo una propuesta. La procedencia de código IA en los SBOMs es incipiente. Las pruebas adversariales para puertas traseras de fine-tuning siguen siendo investigación. Pero la trayectoria es clara, y cada pieza que he descrito tiene equipos trabajando en ella ahora mismo. La cuestión no es si el 2028 de Maya es posible — es si la industria lo construye lo bastante rápido para que importe.
Una Hoja de Ruta Práctica para 2027
Esto es lo que deberías estar construyendo o adquiriendo en los próximos doce meses, organizado por urgencia.
Hacer Ahora (T3-T4 2026)
Prepárate para el EU Cyber Resilience Act. Si distribuyes software a clientes de la UE, las obligaciones de notificación de vulnerabilidades comienzan el 11 de septiembre de 2026. El CRA no distingue entre código escrito por humanos y código generado por IA, así que esto aplica a tus componentes vibe-coded por igual. En concreto: designa un punto de contacto único para la divulgación coordinada de vulnerabilidades, establece una base de datos interna de vulnerabilidades que rastree los componentes de código generado por IA, construye un flujo de notificación a ENISA y al CSIRT nacional correspondiente a través de la Plataforma Única de Notificación en 24 horas para vulnerabilidades explotadas activamente, y documenta el periodo de soporte de seguridad de cada producto que distribuyas. Si no tienes esto en marcha para septiembre, estarás incumpliendo desde el primer día.
Inventaría los permisos de tus agentes IA. Los datos de Gravitee muestran que el 81% de los equipos están desplegando agentes sin gobernanza. Realiza una auditoría: ¿qué agentes tienen acceso a qué sistemas? ¿Qué credenciales heredan? ¿Qué acciones pueden ejecutar sin aprobación humana? Usa el Top 10 de Aplicaciones Agénticas de OWASP como marco de evaluación.
Adopta el Agent Governance Toolkit de Microsoft o construye una aplicación de políticas equivalente. Las comprobaciones de políticas en menos de un milisegundo sobre las acciones de los agentes son la defensa mínima viable. Si tus agentes pueden desplegar código, modificar infraestructura o acceder a datos de clientes, guardarraíles deterministas — no el comportamiento probabilístico del modelo — deben restringirlos.
Construir en T1-T2 2027
Integra escaneo de seguridad impulsado por IA. Los enfoques híbridos como IRIS (LLM + CodeQL) y SAST-Genius (filtrado de falsos positivos con LLM) representan la próxima generación de detección de vulnerabilidades. Evalúalos para tu stack. La reducción de falsos positivos por sí sola justifica la inversión — tu equipo de seguridad se está ahogando en alertas sobre las que no puede actuar.
Implementa rastreo de procedencia del código IA. Rastrea qué porciones de tu base de código fueron generadas por IA, por qué modelo, y en qué versión. Es un requisito de cumplimiento bajo las disposiciones de transparencia del EU AI Act y una defensa de responsabilidad cuando las cosas van mal. Las herramientas para esto son incipientes pero se están desarrollando — empieza con metadatos en mensajes de commit y avanza hacia el rastreo automatizado.
Forma a tu equipo. SecAI+ de CompTIA es un punto de partida. SANS, ISC2 y AWS ofrecen formación en seguridad de IA ahora. La brecha de competencias entre «desarrolladores que usan IA» y «desarrolladores que securizan IA» es donde la mayoría de las organizaciones son más vulnerables.
Planificar para S2 2027
Prepárate para la migración post-cuántica. Audita tus bases de código generadas por IA en busca de opciones criptográficas codificadas directamente. Implementa patrones de cripto-agilidad — capas de abstracción que permitan la sustitución de algoritmos sin reescribir la lógica de la aplicación. Los estándares del NIST están finalizados; la migración es cuestión de cuándo, no de si.
Evalúa seguros de responsabilidad por código IA. El mercado de seguros aún se está formando, pero los que se mueven primero y pueden demostrar procesos de gobernanza de IA están consiguiendo cobertura. Las empresas sin prácticas documentadas de seguridad de IA encontrarán cada vez más caro — o imposible — asegurar sus bases de código generadas por IA.
Contribuye a los estándares de seguridad de agentes. Se espera el Perfil de Interoperabilidad de Agentes IA del NIST para el cuarto trimestre de 2026. El mapa de estándares se está dibujando ahora mismo. Si operas a escala con agentes IA, tu experiencia debería contribuir a dar forma a estos estándares en lugar de reaccionar a ellos.
La Brecha Entre Dos Listas Top 10
OWASP mantiene ahora dos marcos de seguridad de IA separados: el LLM Top 10 (centrado en el comportamiento del modelo — inyección de prompts, envenenamiento de datos de entrenamiento, manejo de salidas) y el Top 10 Agéntico (centrado en la acción autónoma — secuestro de objetivos, manipulación de herramientas, control de acceso insuficiente). Los principales riesgos agénticos los cubrí en la sección anterior porque ahí está la amenaza activa. Pero la brecha entre estas dos listas importa más que cualquiera de ellas por separado.
El LLM Top 10 asume que un humano está en el bucle — leyendo la salida, decidiendo si actuar. El Top 10 Agéntico asume que la IA es la que actúa. La mayoría de los sistemas reales en 2026 están en algún punto intermedio: agentes semi-autónomos que a veces piden aprobación y a veces no, dependiendo de cómo se configuraron. El modelo de seguridad para este terreno intermedio apenas existe. Los marcos de OWASP abordan los dos extremos pero no el continuo.
Aquí es donde vivirá la próxima generación de exploits. Los atacantes no apuntarán al chatbot completamente supervisado (poco rentable) ni al agente completamente autónomo (mejor defendido con el tiempo). Apuntarán al agente medio supervisado con límites difusos — el que pide permiso para desplegar código pero no para modificar la configuración de despliegue. Hemos pasado 2025-2026 aprendiendo a securizar las salidas del modelo. Pasaremos 2027-2028 aprendiendo a securizar las acciones del modelo. Lo más difícil serán los sistemas que hacen ambas cosas.
El Arco de Esta Serie
Escribí el primer artículo de esta serie porque la industria de la seguridad no estaba siguiendo el ritmo de lo que estaba pasando sobre el terreno. Los desarrolladores estaban construyendo aplicaciones de producción con código generado por IA, distribuyéndolas a usuarios reales, y nadie estaba documentando sistemáticamente qué salía mal — ni cómo prevenirlo.
Diez artículos después, la situación ha cambiado. Cuando escribí la Parte 1, MCP era un protocolo del que la mayoría de los profesionales de seguridad no habían oído hablar. Para la Parte 9, la NSA había publicado guías sobre él. Cuando escribí la Parte 2, mapear los riesgos de OWASP a las aplicaciones vibe-coded era un ejercicio novedoso. Para mediados de 2026, OWASP había publicado listas de top 10 separadas tanto para aplicaciones LLM como para aplicaciones agénticas. Cuando escribí la Parte 4 sobre riesgos de la cadena de suministro, el slopsquatting era un hallazgo de investigación emergente. Ahora es un vector de ataque documentado con explotación activa en producción.
Los datos cuentan la historia. El Vibe Security Radar de Georgia Tech rastreó 6 CVEs atribuidos a código generado por IA en enero de 2026. Para marzo, eran 35. Los commits asistidos por IA exponen secretos codificados a una tasa del 3,2% — más del doble de la tasa base del 1,5% para código escrito por humanos. Apiiro encontró que el código generado por IA crea un 322% más de rutas de escalada de privilegios que el código escrito por humanos. La confianza de los desarrolladores en la salida de la IA cayó 11 puntos porcentuales en un solo año — solo el 29% confía ahora en el código generado por IA, frente al 40% en 2024.
La industria ya no está ignorando el problema. Lo que aún no ha hecho es resolverlo.
Hacia Dónde Vamos
El mercado de asistentes de codificación con IA fue de 7.370 millones de dólares en 2025 y se proyecta que alcance los 26.000 millones para 2030. Solo GitHub Copilot tiene aproximadamente 20 millones de usuarios desplegados en el 90% del Fortune 100. Esta tecnología no va a desaparecer. La pregunta nunca fue «¿deberíamos usar IA para escribir código?» — siempre fue «¿cómo lo hacemos sin quemar la casa?»
Después de diez artículos, mi respuesta es lo mismo que le diría a cualquier cliente que me pregunta: la tecnología es potente, los riesgos son reales, y el camino hacia adelante es ingeniería disciplinada, no miedo.
Trata el código generado por IA como entrada no confiable — siempre, sin excepción. Construye puertas de seguridad que no dependan solo de la vigilancia humana. Adopta herramientas de defensa impulsadas por IA que puedan seguir el ritmo del volumen generado por IA. Prepárate para la regulación que llega estés listo o no. E invierte en las personas: los desarrolladores que necesitan entender qué hace mal la IA, los ingenieros de seguridad que necesitan auditar pipelines aumentados con IA, y los líderes que necesitan gobernar un proceso que va más rápido de lo que cualquier humano puede revisar manualmente.
La revolución del vibe coding dio a los desarrolladores un apalancamiento extraordinario. El reto de seguridad de los próximos dos años es hacer que ese apalancamiento sea seguro de usar. En VULNEX, lo vemos cada semana — equipos que lanzan rápido con código generado por IA, descubren la deuda de seguridad después, y corren a cerrar brechas que no sabían que existían. Las herramientas y los marcos están mejorando, pero solo funcionan si los adoptas antes de la brecha, no después.
Si has estado leyendo esta serie, te pido algo: no dejes que se quede en lo teórico. Elige un punto de la hoja de ruta de arriba e impleméntalo este trimestre. Audita los permisos de tus servidores MCP. Monta un flujo de notificación de vulnerabilidades en 24 horas. Ejecuta un escáner impulsado por IA junto con tu SAST actual. Un paso concreto importa más que diez artículos guardados en favoritos. Y si encuentras algo interesante — un nuevo patrón de ataque, una herramienta que funciona, un vacío regulatorio del que nadie habla — compártelo. Menciónalo. La comunidad de seguridad se fortalece cuando los profesionales publican lo que aprenden.
Como siempre: no te fíes de nada, verifica todo.
Ha sido un privilegio escribir esta serie. Espero que haya sido útil.
- X (Twitter): @SimonRoses
Lectura Adicional
- ¿Qué es la Seguridad del Vibe Coding? Una Guía de Campo para 2026 — Parte 1 de esta serie
- El OWASP Top 10 para Aplicaciones Vibe-Coded — Parte 2 de esta serie
- Anatomía de una Brecha de Vibe Coding: Lecciones de los Peores Incidentes de 2026 — Parte 3 de esta serie
- La Trampa de las Dependencias: Riesgos en la Cadena de Suministro del Código Generado por IA — Parte 4 de esta serie
- Autenticación y Secretos: Lo Que la IA Siempre Hace Mal — Parte 5 de esta serie
- Escaneando Aplicaciones Vibe-Coded: Por Qué el SAST/DAST Tradicional Se Queda Corto — Parte 6 de esta serie
- Prompt Engineering para Código Seguro — Parte 7 de esta serie
- El Checklist de Seguridad del Fundador — Parte 8 de esta serie
- Securizando el Pipeline de Codificación con IA — Parte 9 de esta serie
Referencias
- Comisión Europea (2024). EU AI Act — Reglamento (UE) 2024/1689.
- Comisión Europea (2024). Cyber Resilience Act — Reglamento (UE) 2024/2847.
- The White House (2026). Executive Order on Promoting Advanced AI Innovation and Security.
- NIST (2026). AI Agent Standards Initiative — Center for AI Standards and Innovation.
- CompTIA (2026). SecAI+ Certification Launch.
- Knostic (2026). MCP Server Authentication Audit: Zero out of 2,000 Servers Had Authentication.
- Gravitee (2026). State of AI Agent Security 2026.
- OWASP (2025). Top 10 for Agentic Applications.
- Microsoft (2026). Agent Governance Toolkit.
- Google DeepMind (2026). Multi-Agent AI Safety Funding Initiative.
- Anthropic (2026). Project Glasswing: Claude Mythos and Coordinated Vulnerability Disclosure.
- Chen et al. (2025). IRIS: Neuro-Symbolic Vulnerability Detection with LLMs and Static Analysis.
- IEEE S&P (2025). SAST-Genius: Hybrid LLM False Positive Filtering for SAST.
- Google DeepMind (2025). CodeMender: Automated Security Fix Generation.
- Georgia Tech (2026). Vibe Security Radar: AI-Generated Code CVE Tracking.
- Apiiro (2026). AI-Generated Code Creates 322% More Privilege Escalation Paths.
- The Geneva Association (2025). AI Risk and Insurance: Challenges and Emerging Responses.
- K&L Gates (2026). AI Product Liability: The Next Wave of Litigation.
- Carnegie Mellon University (2026). Fake Stars and Manipulated Repositories on GitHub.
