Cómo el “vibe coding” impulsado por IA está creando una crisis de seguridad y deuda técnica

Los asistentes de programación basados en inteligencia artificial están cambiando radicalmente la forma en que se desarrolla software. Herramientas capaces de generar funciones completas a partir de instrucciones en lenguaje natural permiten crear aplicaciones mucho más rápido que antes.

Pero cada vez más ingenieros advierten de una consecuencia inesperada: la aparición de lo que algunos llaman “vibe slop”.

El término deriva de “vibe coding”, una forma de desarrollo en la que los programadores generan grandes partes de una aplicación mediante prompts a modelos de IA en lugar de escribir cada línea manualmente. Aunque este enfoque aumenta la productividad inicial, también introduce un problema estructural: el código se produce más rápido de lo que los humanos pueden revisarlo, probarlo, asegurarlo y mantenerlo.

Con el tiempo, eso puede traducirse en una acumulación creciente de vulnerabilidades, errores de configuración y deuda técnica que los equipos deben resolver mucho después de haber obtenido las primeras ganancias de velocidad.

Cuando el “vibe coding” se convierte en “vibe slop”

Los modelos generativos son muy eficaces produciendo fragmentos de código funcional. Sin embargo, escribir código es solo una parte del trabajo de ingeniería de software.

Estudios que analizan proyectos reales con código generado por IA han detectado patrones asociados a problemas de mantenimiento a largo plazo, como mayor duplicación de código y menor mantenibilidad frente al código escrito por humanos.

Además, estas herramientas cambian el cuello de botella del desarrollo:

• Generar código se vuelve extremadamente rápido.
• Revisar, comprender y validar ese código sigue siendo lento y depende de expertos.

Ese desequilibrio puede llevar a que los equipos acumulen grandes volúmenes de software funcional pero poco comprendido, lo que vuelve cada vez más difícil su mantenimiento.

Los mantenedores de proyectos de código abierto ya reportan un fenómeno similar: una avalancha de contribuciones generadas por IA que supera su capacidad de revisión, algo que algunos analistas describen como una ola de "AI slop" que presiona la gobernanza de los proyectos.

Riesgos de seguridad: más vulnerabilidades en producción

Uno de los riesgos más preocupantes es la seguridad.

Investigadores han documentado un aumento medible de vulnerabilidades relacionadas con código generado por IA. Por ejemplo, informes de seguridad registraron al menos 35 nuevas entradas de vulnerabilidades CVE en marzo de 2026 vinculadas directamente a código generado por IA, aunque el número real probablemente sea mayor porque muchos casos no dejan rastros identificables.

Varios estudios también muestran que los asistentes de programación pueden reproducir patrones inseguros presentes en sus datos de entrenamiento. Pruebas realizadas con distintos modelos hallaron que alrededor del 45% de las muestras de código generadas incluían vulnerabilidades comunes, muchas dentro de las categorías del OWASP Top 10.

Otro problema creciente es la exposición accidental de secretos. Un análisis de flujos de trabajo reales encontró que los commits asistidos por IA filtraban credenciales más del doble de veces que los commits escritos solo por humanos (3,2% frente a 1,5%).

Estas tendencias aumentan la probabilidad de que configuraciones inseguras, claves filtradas o fallos de seguridad lleguen a sistemas en producción.

El caso OpenClaw: cuando los agentes de IA quedan expuestos en internet

Los riesgos se vuelven especialmente visibles en plataformas que integran agentes de IA con herramientas externas.

La plataforma de asistente de IA de código abierto OpenClaw ha sido citada por investigadores de seguridad como un ejemplo importante de infraestructura de IA expuesta en internet. Investigaciones han detectado decenas de miles de despliegues accesibles públicamente, muchos vulnerables a toma de control debido a configuraciones incorrectas o software desactualizado.

En algunos escaneos de internet se encontraron más de 21.000 instancias accesibles públicamente, varias filtrando claves de API, tokens OAuth y credenciales en texto plano.

El ecosistema de extensiones de la plataforma también mostró problemas. Un análisis de casi 4.000 "skills" del marketplace descubrió 283 paquetes (aproximadamente el 7,1%) con fallos críticos en el manejo de credenciales, capaces de exponer datos sensibles.

Estos incidentes ilustran un problema más amplio: cuando agentes de IA con acceso a herramientas y servicios se despliegan sin prácticas sólidas de seguridad, pueden convertirse en paneles de control públicos para los sistemas que integran.

Por qué los ingenieros temen el uso por personas sin formación

Muchos desarrolladores señalan que el verdadero riesgo no es la herramienta, sino quién la usa y cómo.

El desarrollo tradicional asume que quien escribe el código comprende su arquitectura, dependencias y límites de seguridad. El vibe coding rompe en parte esa suposición.

Una persona puede generar una aplicación funcional con IA sin entender completamente el código resultante. Eso significa que puede no detectar:

• vulnerabilidades ocultas
• flujos de autenticación inseguros
• dependencias riesgosas
• fallos en casos límite

En la práctica, esto produce software que funciona en demostraciones pero falla en condiciones reales. Algunos ingenieros llaman a estos sistemas “software de happy path”, aplicaciones que funcionan solo en escenarios ideales porque sus creadores no pueden evaluar plenamente la lógica subyacente.

El costo a largo plazo: deuda técnica a gran escala

Incluso cuando el código generado por IA funciona correctamente, puede acumular deuda técnica con rapidez.

Como la IA permite producir más código por desarrollador, las organizaciones terminan gestionando bases de código más grandes y complejas. Si ese código contiene lógica redundante, patrones inconsistentes o documentación débil, cada cambio futuro se vuelve más caro y arriesgado.

Investigadores de seguridad advierten que esta dinámica también crea “deuda de seguridad”, donde las vulnerabilidades se acumulan más rápido de lo que las organizaciones pueden detectarlas y corregirlas.

En otras palabras, el aumento de productividad ocurre de inmediato, pero los costos de mantenimiento aparecen más tarde.

Un problema similar empieza a surgir en la investigación científica

La misma dinámica —generación barata combinada con evaluación costosa— empieza a aparecer también en la ciencia.

Sistemas de IA se utilizan cada vez más para buscar literatura científica, generar hipótesis, redactar artículos y asistir en procesos de revisión académica.

En algunos casos los resultados son prometedores: experimentos muestran que los modelos de lenguaje pueden generar hipótesis científicas plausibles e incluso novedosas que los investigadores pueden probar experimentalmente.

Sin embargo, estudios comparativos indican que las hipótesis generadas por IA suelen rendir peor que las humanas cuando se evalúan experimentalmente.

Esto ha despertado preocupación entre editores y científicos sobre un posible efecto de "AI slop" en la academia. Un editorial publicado en 2026 en la revista Science advirtió que el uso excesivo o no declarado de IA en la redacción de manuscritos podría degradar la fiabilidad del registro científico si la supervisión no evoluciona al mismo ritmo.

El verdadero cuello de botella sigue siendo el juicio humano

Tanto en ingeniería de software como en investigación científica aparece el mismo patrón.

La IA reduce drásticamente el costo de producir resultados: código, hipótesis, documentos o diseños. Pero el costo de evaluar esos resultados sigue dependiendo del juicio de expertos humanos.

Cuando generar contenido se vuelve casi gratuito pero evaluarlo sigue siendo escaso y costoso, los sistemas pueden llenarse de trabajo plausible pero poco fiable.

En software, eso se traduce en código inseguro y sistemas frágiles. En ciencia, podría significar grandes volúmenes de hipótesis débiles o manuscritos de baja calidad.

El reto para empresas, comunidades de software y revistas científicas no es solo adoptar herramientas de IA, sino crear procesos de revisión, seguridad y gobernanza capaces de gestionar la avalancha de resultados que estas herramientas pueden producir antes de que se conviertan en puro “vibe slop”.