Construir un sitio web o una aplicación con ayuda de inteligencia artificial hoy toma una fracción del tiempo que tomaba hace un par de años. Eso es una ventaja real, sobre todo para negocios pequeños que antes no podían pagar un equipo de desarrollo completo. Pero esa velocidad tiene un costo silencioso si nadie revisa lo que la IA construyó: la seguridad.
Lo que muestran los datos recientes
Un análisis de Veracode sobre más de 100 modelos de lenguaje encontró que el 45% de las muestras de código generadas por IA fallaron pruebas de seguridad e introdujeron vulnerabilidades del top 10 de OWASP, el estándar de referencia en fallas de seguridad web (Veracode, 2025). El mismo reporte encontró que el 86% de las muestras no logró defenderse de ataques de cross-site scripting y el 88% resultó vulnerable a inyección de logs (Veracode, 2025), dos de los tipos de fallas más comunes que un atacante busca en cualquier sitio o aplicación.
La Cloud Security Alliance encontró una tendencia similar en la práctica: hacia mediados de 2025, el código generado por IA estaba sumando más de 10,000 nuevos hallazgos de seguridad por mes en los repositorios estudiados, diez veces más que a finales de 2024 (Cloud Security Alliance, 2026). No es que la IA sea insegura por naturaleza: es que genera código muy rápido, y ese código necesita la misma revisión que cualquier otro antes de publicarse.
Por qué pasa esto
La IA que genera código predice lo que suele funcionar, no necesariamente lo que es seguro. Puede escribir un formulario que funciona perfecto y al mismo tiempo dejar una puerta abierta para que alguien inyecte código malicioso, porque nunca se le pidió explícitamente que la cerrara. El riesgo crece cuando el resultado se publica directamente, sin que una persona con criterio de seguridad lo revise antes.
Buenas prácticas si construyes (o mandas a construir) con IA
- Nunca publiques directo lo que genera una IA sin que alguien revise permisos, formularios y manejo de datos sensibles.
- Usa HTTPS, valida cualquier dato que un usuario pueda enviar (formularios, comentarios, subida de archivos), y nunca guardes contraseñas o datos de pago sin cifrado.
- Actualiza librerías y plugins con regularidad: muchas fallas conocidas se explotan en sitios que simplemente no se actualizaron.
- Si no tienes a alguien técnico en el equipo, pide al menos una revisión de seguridad puntual antes de lanzar algo que maneje datos de clientes.
La velocidad y la seguridad no son opuestas, si nadie se salta el paso de revisión
El problema no es usar IA para construir más rápido: eso seguirá siendo una ventaja real. El problema es tratar el resultado como terminado sin que nadie lo revise, igual que no publicarías un contrato legal generado por IA sin que un abogado lo lea antes. La velocidad que gana un negocio pequeño con estas herramientas vale la pena, siempre que la revisión de seguridad sea parte del proceso y no un paso que se salta por prisa.