Seguridad
Código generado por IA: un fallo conocido en el 45 % de las tareas
El informe 2025 GenAI Code Security Report de Veracode y un estudio de METR recuerdan que la velocidad no basta sin un cambio de método.
Según el 2025 GenAI Code Security Report de Veracode, en el 45 % de las tareas de generación de código probadas (80 tareas, más de 100 modelos), el modelo introdujo un fallo de seguridad conocido del OWASP Top 10. El código casi siempre compila; solo es seguro en algo más de la mitad de los casos.
Un año después, nada se ha movido
La edición de 2026, publicada el 28 de julio, confirma el techo (Veracode). Entre todos los modelos seguidos desde el inicio de la serie, la tasa de superación en seguridad es del 56 %, frente al 55 % del primer informe: alrededor del 44 % de las tareas siguen produciendo un fallo conocido. El mejor modelo de la muestra, GPT-5.5, alcanza el 68 %, y seis de los once modelos probados por primera vez se sitúan entre el 50 % y el 53 %.
Tres supuestos habituales no resisten los datos:
- Los modelos especializados en programación no son más seguros: 51 % de aprobados, frente al 52 % de los modelos generalistas.
- El tamaño apenas importa: 53 % para los modelos de más de 100 000 millones de parámetros, 51 % para los demás.
- El razonamiento ayuda un poco: 56 % para los modelos de razonamiento, 51 % sin él.
Dónde falla
Las diferencias dependen sobre todo del tipo de fallo. Los modelos gestionan bien la inyección SQL (83 % de aprobados) y eligen algoritmos criptográficos sólidos (87 %). Fallan en el cross-site scripting (15 %) y la inyección en registros (12 %), dos fallos que exigen seguir cómo circulan los datos por la aplicación. Java sigue siendo, con diferencia, el lenguaje más arriesgado, con una tasa media de aprobados del 30 % en la edición de 2026, aunque es el único que mejora claramente.
La velocidad, el otro punto ciego
Un ensayo controlado aleatorizado realizado por METR a principios de 2025 midió una ralentización del 19 % entre 16 desarrolladores de código abierto con experiencia que usaban IA en 246 tareas reales (METR). Antes del estudio esperaban una aceleración del 24 %; después, aún creían haber ganado un 20 %.
En febrero de 2026, METR publicó los resultados de un segundo estudio con 57 desarrolladores y más de 800 tareas (METR). Las tareas con IA permitida tardaron un 18 % menos, según las estimaciones, en los desarrolladores que repetían desde 2025, y un 4 % menos en los nuevos, con intervalos de confianza que aún incluyen una ralentización. La propia METR califica el resultado de poco fiable: muchos desarrolladores se negaron a trabajar sin IA, lo que probablemente infravalora la ganancia real.
Qué cambia para los desarrolladores
- Revisar y probar el código generado sigue siendo esencial, empezando por las entradas del usuario, la salida HTML y los registros.
- Incorpora el análisis al bucle del agente: herramientas como Sonar con Gitar comprueban el código mientras el agente lo escribe, no solo al final de la cadena (consulta nuestro artículo).
- Elige modelos también por su seguridad: la diferencia entre un 50 % y un 68 % de aprobados se traduce directamente en trabajo de corrección.
- Mide antes de desplegar: las ganancias provienen de cómo se organiza el trabajo, no solo de la herramienta.
Los límites
Veracode prueba modelos en bruto, sin agentes, salvaguardas ni revisión humana (nota de prensa): en producción, esas capas reducen el riesgo. Veracode también vende herramientas de análisis de código. Los estudios de METR abarcan a desarrolladores de código abierto con experiencia que trabajan en sus propios repositorios, un contexto que no representa a toda la profesión.
Fuentes: Veracode, 2025 GenAI Code Security Report; Veracode, 2026 GenAI Code Security Report, 28 de julio de 2026; METR, julio de 2025; METR, febrero de 2026.
¿Ha detectado un error en este artículo? Comuníquenoslo · Nuestra política de correcciones
