La seguridad del código generado por inteligencia artificial muestra por primera vez en un año una mejora significativa. Según el último informe de Veracode, la proporción de código con vulnerabilidades bajó del 44 % al 38 %, mientras que la seguridad general aumentó del 56 % al 62 %.

Veracode analiza desde julio de 2025 el código producido por distintos modelos de lenguaje. En evaluaciones anteriores, los investigadores observaron que estos sistemas podían generar código funcional con gran consistencia, pero que la seguridad seguía siendo un punto débil. Los resultados más recientes indican un avance, aunque todavía insuficiente para confiar en el código sin controles adicionales.

## Mejores resultados, con diferencias entre modelos

El estudio evaluó 18 modelos en Python, C#, JavaScript y Java, y examinó cuatro categorías de debilidades de seguridad (CWE-89, CWE-327, CWE-80 y CWE-117). Claude Opus 5.5 y GPT-6-Sol lideraron la clasificación, con una puntuación del 73 %. GPT-5.5 obtuvo un 68 %.

La mejora también se refleja en el conjunto de modelos: diez superaron el 60 %, frente a cuatro en el informe anterior. Para Chris Wysopal, cofundador y director de seguridad de Veracode, este es el primer avance sustancial que la empresa ha observado desde que comenzó el estudio. Sin embargo, incluso los modelos mejor clasificados siguen fallando en más de una de cada cuatro tareas de seguridad.

## Avances en fallos comunes, dificultades con problemas complejos

La mejora se concentró principalmente en la prevención de vulnerabilidades de scripting entre sitios (XSS), cuyo resultado aumentó 18 puntos porcentuales. Veracode señala que estas fallas suelen ser más fáciles de corregir mediante el reconocimiento de patrones, una tarea en la que los modelos de lenguaje pueden mejorar con mayor facilidad.

El panorama es menos alentador cuando la seguridad requiere razonamiento más complejo. Por ejemplo, detectar una inyección en registros puede implicar seguir el flujo de datos a través de varias funciones. En este tipo de situaciones, los modelos todavía tienen dificultades para identificar y resolver los riesgos.

Por eso, el progreso en XSS no debe confundirse con una solución general a los problemas de seguridad del código generado por IA. La mejora es valiosa, especialmente porque estas vulnerabilidades siguen siendo frecuentes, pero cubre solo una parte del desafío.

## La verificación sigue siendo indispensable

El informe también advierte que los modelos con mejores resultados suelen ser más costosos de ejecutar. Aun así, elegir el modelo más caro no garantiza un código seguro. Veracode plantea que combinar un modelo de nivel intermedio con herramientas de análisis de seguridad puede ser más preciso, económico y escalable que depender de un modelo de frontera sin verificación.

Para las organizaciones, la conclusión es clara: el código generado por IA debe someterse a pruebas de seguridad independientes y continuas antes de su implementación. Los avances recientes son alentadores, pero no sustituyen la revisión, el análisis automatizado ni la validación humana. La IA puede ayudar a escribir código más seguro; comprobar que realmente lo sea sigue siendo una responsabilidad esencial.

from Latest from TechRadar https://ift.tt/PWmtc1Y
via IFTTT IA