¿Crees que ese fallo de seguridad ha sido corregido? Probablemente no del todo. Una investigación reciente alerta que un cuarto de las vulnerabilidades detectadas no se solucionan de manera definitiva y que el incremento del uso de herramientas de inteligencia artificial (IA) en el desarrollo está intensificando esta dificultad.
El estudio, llevado a cabo por la empresa SecureFlag, analizó durante dos años más de 800.000 intentos de desarrolladores para reparar fallos de seguridad dentro de la plataforma de entrenamiento de la compañía. Los resultados mostraron que aunque tres cuartas partes de las correcciones fueron exitosas, un 25% de ellas contenían errores o no lograban mitigar completamente las vulnerabilidades planteadas.
Este dato sugiere que una proporción considerable de fallos de seguridad en entornos reales podría estar quedando sin resolver eficazmente, reflejando la misma tendencia observada en entornos controlados de laboratorio. 
Un aspecto especialmente preocupante es que, en muchos casos, los desarrolladores no detectan sus propias deficiencias o no comprenden por qué una solución no remedia verdaderamente el problema, particularmente cuando no solicitan ayuda o pistas durante el proceso. Esto apunta a una brecha de conocimientos que puede empeorar con la integración masiva de IA en la industria tecnológica.
Emilio Pinna, director técnico de SecureFlag, advierte que esta brecha se verá más patente cuando las tareas de corrección se deleguen cada vez más a sistemas automáticos. “Aunque la IA proponga soluciones, sigue siendo esencial que un profesional sepa diferenciar cuándo un arreglo es válido o sólo parece correcto”, asegura.
El informe destaca que los desarrolladores no sólo suelen desconocer si han aplicado correctamente una solución, sino que tampoco tienen la capacidad de discernir cuándo una corrección generada por IA es inadecuada. Como señala Pinna, “los desarrolladores que no pueden arreglar una vulnerabilidad de forma autónoma tampoco pueden verificar de manera fiable si un sistema de IA lo ha hecho correctamente.”
Además, el documento resalta que un indicador más relevante que el índice de éxito en la corrección es el índice de solicitudes de ayuda o pistas por parte de los desarrolladores. Esto muestra quienes están cerca de resolver un problema o que por lo menos reconocen sus limitaciones, donde la IA puede ser un apoyo efectivo.
Sin embargo, cuando un desarrollador no pide asistencia y falla, esto indica que interpreta erróneamente que la solución es correcta, un problema que se agrava en algunas categorías específicas de vulnerabilidades.
El peligro de ocultar la falta de conocimientos
Los mayores retos para los desarrolladores se concentran en las fallas de control de acceso y la integridad de software y datos, donde aproximadamente 3 de cada 10 intentos de corrección no son efectivos. En problemas de control de acceso, algunos incluso desactivaban el propio mecanismo que debían implementar, mientras que otros aplicaban cambios superficiales que en realidad mantenían el fallo latente.
Estas áreas también son donde menos se solicitaban pistas, dificultando la identificación de errores. SecureFlag subraya que estas dos categorías, junto con otra más, son las que más abundan en soluciones aparentemente válidas pero erróneas, que pueden ser explotadas fácilmente por atacantes.
“Un modelo de IA al proponer una corrección suele generar algo que parece plausible. El verdadero desafío es saber si esta solución encaja con el contexto particular del fallo”, señala Pinna. “Cuando las herramientas de IA ofrecen arreglos antes de que el desarrollador haya adquirido ese criterio, no cierran la brecha de conocimiento, sino que la ocultan.”
Respecto a la integridad del software y los datos, el estudio observó que los desarrolladores no logran asimilar completamente el concepto incluso con ayuda, un problema serio teniendo en cuenta que la mayoría de vulnerabilidades pueden corregirse mediante diferentes enfoques válidos, y que las soluciones en distintos lenguajes de programación como Java, Python o Rust pueden variar mucho en forma.
Esto dificulta que los profesionales evalúen si las correcciones automáticas propuestas por la IA son apropiadas, aumentando el riesgo de que se apliquen parches insuficientes o incorrectos.
Pinna concluye que el principal valor de la formación en seguridad ya no radica en que los desarrolladores escriban todas las correcciones por sí mismos, sino en que sean capaces de distinguir una solución segura de una que simplemente parece correcta. “Nuestros datos evidencian en qué categorías los desarrolladores presentan mayores debilidades para hacer esta distinción”, añade.
