OpenAI ha implantado una innovadora medida de seguridad en su flujo de trabajo de desarrollo: cada solicitud de incorporación de código (pull request) enviada por sus ingenieros pasa por una revisión automatizada de seguridad realizada por un modelo de inteligencia artificial capaz de bloquear el código si detecta vulnerabilidades. Esta medida, que añade una capa imprescindible de protección, no depende de la intervención humana para forzar su cumplimiento, sino que opera de forma autónoma.
Thibault Sottiaux, líder técnico del equipo de Codex en OpenAI, explicó en una reciente entrevista para The Pragmatic Engineer que esta revisión de seguridad es solo una de las múltiples funciones que las inteligencias artificiales están desempeñando dentro de la compañía. Estos modelos también revisan código para detectar regresiones, gestionan actualizaciones de dependencias y asisten a los ingenieros en cambios que antes podían requerir largos periodos de trabajo.
Revisores de IA que bloquean cada integración
Desde etapas tempranas del desarrollo de Codex, OpenAI ha entrenado modelos especializados en revisión de código, que son capaces de captar errores de lógica y razonamiento que a un programador humano le ocuparían horas identificar. Sottiaux destaca que, en sus pruebas, estos modelos son “superhumanos” tanto en precisión como en aspectos de seguridad. 
Este nivel de eficacia les ha permitido integrar estas capacidades en sus modelos principales, automáticas y sin excepciones: si la IA detecta un problema relacionado con la seguridad, bloquea la incorporación del código directamente.
El propósito sustituye a la inspección manual
A medida que las IA se encargan de las tareas mecánicas en la revisión de código, la función humana se desplazará hacia fases más tempranas del proceso, enfocándose en definir la intención y la estrategia detrás de los cambios propuestos. Los procesos de revisión, despliegue y detección de regresiones en OpenAI ya están prácticamente automatizados, permitiendo a los ingenieros desplegar actualizaciones en el mismo día para ChatGPT, que cuenta con cerca de mil millones de usuarios activos.
Sottiaux insiste en que la discusión en torno a un pull request debe centrarse en el “qué se quiere lograr y si es lo adecuado”, adelantando este debate a la planificación en lugar de dejarlo para la revisión. La IA aligerará la carga de verificar el código, pero la validación previa de la intención continúa siendo humana e indispensable.
Agentes de IA aligeran la carga del mantenimiento
Las tareas de mantenimiento y actualización, en especial las relacionadas con librerías externas que introducen cambios incompatibles, suelen aplazarse ante la prioridad que cobran nuevas funcionalidades. Aquí es donde los agentes de IA pueden marcar una gran diferencia, pues con documentación y registros de cambios claros, es posible que realicen esas actualizaciones tediosas en cuestión de horas, incluso aplicando correcciones rutinarias de seguridad.
Lo mismo ocurre con grandes trabajos de refactorización. Aunque el equipo pueda tener una arquitectura mejor planteada, cuando la previsión de trabajo se extiende meses, se suele posponer el proyecto. La IA permite reducir este tiempo considerablemente, transformando proyectos larguísimos en tareas realizables en días, facilitando su aprobación y ejecución.
Cuando los modelos superan sus propias barreras
Sottiaux describe un fenómeno contrario al habitual en el software: la necesidad de “muletas” o estructuras temporales para compensar las limitaciones de un modelo desaparece conforme la nueva generación de modelos resulta más autónoma y capaz. Por ejemplo, el comando /goal, implementado para mantener la atención del modelo en un objetivo largo, ya no se requiere en versiones recientes.
El equipo de Codex ha aprendido a incluir esta previsión en su planificación, evitando crear soluciones transitorias cuando saben que la próxima generación las resolverá. Así, mejora la eficiencia y se simplifica la infraestructura que rodea a los modelos.
El desafío de los puntos ciegos compartidos
Una gran preocupación es que, si una IA escribe el código y otra lo revisa, ambas podrían tener la misma limitación o falta de percepción, lo que representa un riesgo. Si la IA revisora es demasiado conservadora, puede retrasar cambios que no presentan riesgos reales; pero si pasa por alto una vulnerabilidad, el código inseguro podría avanzar bajo la falsa sensación de seguridad dada por la revisión automatizada.
Además, ante la creciente producción de código generado por IA, la complejidad aumenta. El código puede compilar y superar sus pruebas sin indicar problemas visibles en el pull request, mientras que el verdadero riesgo puede provenir de dependencias manipuladas o comprometidas con semanas o meses de antelación. Esta situación exige una vigilancia especial, ya que la superficie de ataque puede estar fuera del alcance inmediato del código revisado.
En definitiva, OpenAI apuesta por la colaboración estrecha entre ingenieros y sistemas inteligentes para reforzar la seguridad y acelerar el desarrollo, respaldando sus decisiones en modelos que superan ampliamente capacidades humanas en la revisión de código, pero sin perder de vista la importancia crítica de la supervisión y planificación humanas en etapas clave del proceso.
