Respuesta rápida
El código generado por IA no es seguro por defecto. El informe 2026 de Veracode encuentra una tasa media de aprobación de seguridad del 56% en los modelos que sigue, es decir, cerca del 44% de las tareas produjo código con una vulnerabilidad conocida, y la cifra apenas se movió en un año. Alguien tiene que revisar ese código antes de publicarlo, y quién lo hace es una decisión de contratación.
Los asistentes de programación con IA ya escriben una parte grande del código que llega a producción, y entregar más rápido casi nunca viene con un plan para verificar lo generado. Este artículo separa lo que muestran los datos (el código escrito por IA suele fallar pruebas básicas de seguridad y la verificación va por detrás de la generación) de lo que no muestran (que la mayoría de los sitios web sean vulnerables, o que la contratación por sí sola cause brechas). El ángulo de contratación es evaluación propia de OpenWorks y se rotula así.
¿Es seguro por defecto el código generado por IA?
No. En el GenAI Code Security Report 2026 de Veracode, la tasa media de aprobación de seguridad en los modelos que ha seguido es del 56%, lo que significa que cerca del 44% de las tareas de generación de código produjo código con una vulnerabilidad conocida. El primer informe registró 55%.
Dato
Tasa media de aprobación de seguridad del código generado por IA: 56% en más de 100 modelos seguidos en cuatro mediciones, frente a 55% en el primer informe. Las pruebas usaron tareas de programación estandarizadas sin indicaciones específicas de seguridad. Más: veracode.com/resources/analyst-reports/2026-genai-code-security-report
Veracode, 2026 GenAI Code Security Report (2026)
Dos límites importan. Las pruebas se ejecutaron sobre modelos sin ajustes, sin las herramientas, barreras ni revisión humana que añadiría un equipo en producción, así que la cifra describe lo que escribe el modelo, no lo que una empresa publica. El estudio tampoco mide cuántos sitios web en vivo son vulnerables.
¿Alguien revisa realmente el código que escribe la IA?
No de forma consistente. En la State of Code Developer Survey 2026 de Sonar, con más de 1.100 desarrolladores, el 48% dijo que siempre revisa el código asistido por IA antes de confirmarlo, mientras que el 96% dijo que no confía plenamente en que sea funcionalmente correcto. También reportaron que la IA representa el 42% del código que confirman. Son cifras autorreportadas de un proveedor de software de revisión de código, y el 96% se refiere a la corrección funcional, no a la seguridad.
Dato
El 48% de los desarrolladores encuestados dice que siempre revisa el código asistido por IA antes de confirmarlo; el 42% de su código confirmado es asistido por IA (dato reportado por los desarrolladores). Encuesta autorreportada. Más: sonarsource.com/company/press-releases/sonar-data-reveals-critical-verification-gap-in-ai-coding/
Sonar, State of Code Developer Survey (2026)
¿Aparecen en software real los fallos del código escrito por IA?
Sí, en un número pequeño, creciente y subestimado de casos. El Vibe Security Radar de Georgia Tech rastrea avisos públicos de vulnerabilidades hasta herramientas de programación con IA. Confirmó 74 casos: unos 18 repartidos en siete meses de 2025 y 56 en los tres primeros meses de 2026, de los cuales 35 corresponden solo a marzo. Los investigadores describen la cifra como un piso, porque el rastreo depende de marcas que pueden eliminarse.
Dato
74 casos públicos de vulnerabilidades confirmados y rastreados hasta herramientas de programación con IA entre mayo de 2025 y marzo de 2026, con 35 solo en marzo de 2026. La cifra es un piso: el rastreo depende de marcas como las etiquetas de coautoría, que pueden eliminarse. Más: cc.gatech.edu/news/bad-vibes-ai-generated-code-vulnerable-researchers-warn
Georgia Tech SSLab, Vibe Security Radar (2026)
¿Por qué revisar código generado por IA es una decisión de contratación?
Evaluación de OpenWorks, no un hallazgo de estudio: el código generado añade trabajo de revisión que alguien con criterio de seguridad tiene que asumir. Los investigadores de Georgia Tech aconsejan revisar la salida de la IA con el mismo cuidado que el pull request de un desarrollador junior, sobre todo el manejo de entradas y la autenticación. Un equipo que adopta asistentes de IA y mantiene el mismo plan de contratación tiene más código por revisar y nadie nuevo para revisarlo.
- Ingenieros senior con tiempo reservado para revisar. El manejo de entradas y la autenticación son las áreas que señalan los investigadores de Georgia Tech.
- Escaneo automatizado dentro del flujo de entrega, con una persona nombrada responsable de los resultados. El análisis 2026 de Veracode plantea verificar el código dentro del flujo de trabajo.
- Un ingeniero o analista con criterio de seguridad que clasifique los hallazgos y decida qué bloquea una publicación.
- Un responsable claro de las correcciones, para que los hallazgos no se acumulen como deuda de seguridad.
¿Qué roles cubren la capa de revisión en un equipo que usa IA para escribir código?
Cuatro roles se reparten el trabajo: ingeniería senior lee el código, DevOps ejecuta el escaneo, un analista de seguridad clasifica los hallazgos y un líder de entrega responde por correcciones y aprobación. La tabla resume qué cubre cada uno y dónde suele aparecer la brecha, según el criterio de OpenWorks.
| Rol | Qué cubre | Brecha habitual (criterio OpenWorks) |
|---|---|---|
| Ingeniero senior | Lee el código generado antes del merge | La revisión se cae sin tiempo reservado |
| Ingeniero DevOps | Ejecuta el escaneo en el pipeline | Hay escaneo, pero nadie responde por él |
| Analista de seguridad | Clasifica hallazgos y fija criterios | Los hallazgos se acumulan sin decisión |
| Líder de entrega | Responde por correcciones y aprobación | Las correcciones esperan tras las funciones |
Conclusión clave
El código generado por IA necesita una capa de revisión, y esa capa tiene nombres: quién lee el código, quién responde por el escáner y quién decide qué bloquea una publicación. Poner esos roles en el plan de contratación antes de la próxima entrega asistida por IA es el paso de personal que cierra la brecha de verificación.
Preguntas frecuentes
¿Es el código generado por IA menos seguro que el escrito por personas?
Las fuentes revisadas aquí no comparan ambos de forma directa. Veracode mide con qué frecuencia el código generado por IA falla pruebas de seguridad (cerca del 44% de las tareas en 2026) y Georgia Tech cuenta avisos reales rastreados hasta herramientas de IA. Ninguno fija una referencia de código escrito por personas, así que un ranking no está respaldado.
¿Los datos muestran que la mayoría de los sitios hechos con IA son vulnerables?
No. Veracode probó modelos con tareas estandarizadas, no sitios en vivo, y Georgia Tech confirmó 74 casos públicos hasta marzo de 2026, una cifra que sus investigadores llaman piso. Los datos respaldan exigir revisión, no afirmar qué porcentaje de sitios es vulnerable.
¿Quién debe responder por revisar el código generado por IA?
OpenWorks recomienda nombrar un responsable por entrega, normalmente un ingeniero senior o un líder de entrega, y que un ingeniero DevOps o un analista de seguridad lleve el escaneo y la clasificación. Es una guía propia de OpenWorks, no un hallazgo de los estudios citados.
¿Puede un equipo nearshore cubrir la capa de revisión?
Sí, si los roles se definen antes de iniciar la búsqueda y los ingenieros trabajan en husos horarios de EE. UU. y Canadá, porque la revisión bloquea publicaciones y necesita respuestas el mismo día. OpenWorks reporta un promedio de unas 3 semanas desde la primera consulta hasta la integración.
OpenWorks, con sede en Langford, BC, ubica ingenieros nearshore en roles especializados, entre ellos nube, DevOps y seguridad, en husos horarios de EE. UU. y Canadá. El promedio es de unas 3 semanas desde la primera consulta hasta la integración, la garantía de reemplazo de 90 días aplica en todos los modelos de contratación, y OpenWorks reporta 98% de retención y 0% de rotación a los 12 meses. Para un equipo que publica código asistido por IA, esas cifras describen qué tan rápido se cubren los roles de revisión, cómo se cubre el riesgo de una mala asignación y cuánto permanecen las personas en el código.