La IA acelera el código; la revisión de sus dependencias no sigue el ritmo

Un asistente de programación puede sugerir una biblioteca o incorporar una imagen de contenedor en cuestión de segundos. Comprobar de dónde procede, qué otras dependencias arrastra y si contiene vulnerabilidades lleva más tiempo. Esa diferencia de velocidad amplía la superficie de ataque de la cadena de suministro de software: el riesgo no está solo en el código que escribe una empresa, sino también en los componentes externos que incorpora. 17

El cuello de botella de las aprobaciones

Quincy Castro, responsable de seguridad de la información (CISO) de Chainguard, sostiene que la generación casi instantánea de código ha superado el ciclo tradicional de solicitar, revisar y aprobar cada nueva dependencia. Si las incorporaciones se acumulan más deprisa de lo que las personas pueden evaluarlas, la cola de aprobaciones deja de ser un control capaz de seguirles el ritmo. 17

Por qué importa mirar más allá de los proyectos conocidos

En el análisis de Chainguard, el 97 % de las instancias de vulnerabilidad observadas se encontraba fuera de los 20 proyectos de imágenes de contenedor más populares. La cifra describe vulnerabilidades detectadas en esa muestra, no el porcentaje de proyectos vulnerables en todo el ecosistema. Su advertencia es más concreta: limitar la revisión a los componentes más conocidos deja fuera buena parte de la exposición medida en proyectos menos visibles. 17

Un atacante puede aprovechar esa falta de visibilidad mediante una bifurcación maliciosa: una copia que se parece a un proyecto legítimo, pero contiene código dañino. Tampoco la popularidad garantiza protección. En marzo de 2026, atacantes comprometieron la distribución de Trivy mediante GitHub Actions —un sistema que automatiza tareas de desarrollo— y obtuvieron credenciales de flujos de trabajo afectados. El caso mostró cómo una herramienta de seguridad ampliamente utilizada también puede convertirse en vía de entrada. 17

La investigación de la Universidad de Indiana

Con una subvención de 1,18 millones de dólares de la Fundación Nacional de Ciencias de Estados Unidos (NSF), investigadores de la Universidad de Indiana planean evaluar riesgos de seguridad en herramientas y modelos de IA de código abierto utilizados en investigación y ayudar a sus usuarios a identificar opciones más seguras. 6

Jetstream2 es una infraestructura de computación para investigación de la universidad respaldada por la NSF. La información disponible no establece un método concreto para puntuar los modelos ni permite afirmar que las alternativas recomendadas estarán libres de riesgos. 26