El problema: tu IA escribe código que nadie revisa
Tu equipo de desarrollo usa IA para generar código. Le pides "crea una función que valide emails" y la IA te da el código en segundos. Lo copias, lo pegas y lo subes a producción. El problema: nadie revisó el código. Y el código generado por IA puede contener vulnerabilidades, claves de API expuestas, dependencias inseguras y lógica defectuosa.
El "vibe coding" es cuando describes lo que quieres en lenguaje natural y la IA genera el código. Es rápido, es productivo y es peligroso. La IA no es un desarrollador senior que revisa su propio código: es un generador de texto que produce código que parece correcto pero puede tener errores sutiles que solo un humano puede detectar.
El riesgo no es teórico. El código generado por IA puede incluir claves de API hardcodeadas, consultas SQL vulnerables a inyección, dependencias con vulnerabilidades conocidas y lógica de negocio incorrecta. Y como el código se ve "bien", nadie lo revisa.
La IA puede ayudar a auditar el código generado por IA. Pero la IA que genera código no es la misma que la que lo audita. Necesitas un proceso de revisión independiente.
Lo que dicen los datos
8,8 billones de intentos de ciberataque en Chile 2025: Fuente primaria: SEK (Security Ecosystem Knowledge), reporte "Think Ahead" (datos 2025), publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. De los 8,8 billones, 5 billones son escaneos activos (no ataques exitosos). El dato indica que el entorno digital chileno es altamente hostil, lo que aumenta el riesgo de código vulnerable en producción.
16% de brechas involucran delincuentes con IA: Proviene de una columna de opinión publicada en BioBioChile el 21 de julio de 2026. No se pudo verificar la metodología ni la fuente primaria. Tratar como estimación no verificada; no presentar como dato establecido.
Informe de Materialidad de Grandes Empresas (La Tercera, junio 2025): La escasez de talento y la irrupción de la IA son los principales desafíos para las empresas chilenas. La conclusión: las empresas saben que necesitan IA, pero no tienen el equipo para implementarla. Y sin equipo de desarrollo capacitado, la implementación de IA para auditoría de código falla.
Ley 21.719 (vigente desde 1 de diciembre de 2026): Exige que las empresas protejan los datos personales de sus clientes. Si el código generado por IA expone datos personales (claves de API, credenciales, datos de usuarios), la empresa es responsable.
La conclusión es que las empresas chilenas necesitan auditar el código generado por IA, pero sin exponer código fuente ni datos sensibles.
Los 5 riesgos del código generado por IA
1. Claves de API expuestas
El problema: La IA genera código que incluye claves de API, tokens de acceso o credenciales hardcodeadas. El desarrollador no se da cuenta porque el código "funciona" y no revisa la seguridad.
Cómo la IA ayuda (en la auditoría): Un modelo de IA audita el código generado por IA y detecta claves de API, tokens y credenciales hardcodeadas. Genera una alerta antes de que el código llegue a producción.
Ejemplo: La IA audita 50 archivos de código y detecta que 3 tienen claves de API hardcodeadas. La IA alerta: "Clave de API expuesta en archivo login.js línea 42. Mover a variable de entorno."
La regla: La IA genera, otra IA audita. Nunca confíes en el código generado por IA sin una auditoría independiente.
2. Vulnerabilidades de inyección
El problema: La IA genera consultas SQL, comandos de shell o código de evaluación (eval) sin sanitizar las entradas. El código funciona en desarrollo pero es vulnerable a inyección en producción.
Cómo la IA ayuda (en la auditoría): Un modelo de IA analiza el código y detecta patrones de inyección: consultas SQL sin parámetros, comandos de shell con entrada de usuario, eval con datos no confiables.
Ejemplo: La IA detecta que una consulta SQL concatena directamente la entrada del usuario: SELECT * FROM users WHERE name = '${userInput}'. La IA alerta: "Posible inyección SQL. Usar parámetros preparados."
La regla: La IA genera, otra IA audita. La auditoría debe ser independiente del generador.
3. Dependencias inseguras
El problema: La IA genera código que usa librerías o paquetes con vulnerabilidades conocidas. El desarrollador no verifica las dependencias porque confía en la IA.
Cómo la IA ayuda (en la auditoría): Un modelo de IA analiza las dependencias del código y las compara con bases de datos de vulnerabilidades conocidas. Genera una lista de dependencias inseguras con recomendaciones de actualización.
Ejemplo: La IA detecta que el código usa [email protected], que tiene una vulnerabilidad crítica (CVE-2020-8203). La IA alerta: "Dependencia insegura. Actualizar a [email protected] o superior."
La regla: La IA genera, otra IA audita. Las dependencias deben verificarse independientemente.
4. Lógica de negocio incorrecta
El problema: La IA genera código que parece correcto pero tiene errores lógicos: cálculos incorrectos, condiciones invertidas, bucles infinitos. El código pasa las pruebas básicas pero falla en casos edge.
Cómo la IA ayuda (en la auditoría): Un modelo de IA analiza la lógica del código y detecta patrones sospechosos: condiciones que siempre son verdaderas, cálculos que no tienen sentido, bucles que pueden no terminar.
Ejemplo: La IA detecta que una condición if (age > 0 && age < 150) siempre es verdadera porque la validación anterior ya filtró edades negativas. La IA alerta: "Condición redundante. Verificar lógica de validación."
La regla: La IA genera, otra IA audita. La lógica debe verificarse independientemente.
5. Falta de manejo de errores
El problema: La IA genera código que no maneja errores: no hay try/catch, no hay validación de entrada, no hay mensajes de error útiles. El código falla silenciosamente o muestra errores técnicos al usuario.
Cómo la IA ayuda (en la auditoría): Un modelo de IA analiza el código y detecta puntos donde faltan manejadores de error: llamadas a APIs sin try/catch, validación de entrada ausente, errores no manejados.
Ejemplo: La IA detecta que una llamada a una API externa no tiene manejo de errores. La IA alerta: "Falta manejo de errores en llamada a API. Agregar try/catch y mensaje de error al usuario."
La regla: La IA genera, otra IA audita. El manejo de errores debe verificarse independientemente.
Los 4 requisitos para auditar código generado por IA
1. Código en tu infraestructura
La IA de auditoría necesita que el código esté en tu infraestructura (o en infraestructura en Chile con garantías de protección de datos). Si envías tu código fuente a un proveedor en la nube, tu código sale de tu control.
Si no cumples este requisito: Tu código fuente puede estar expuesto.
2. Proceso de revisión definido
La IA necesita un proceso de revisión definido: qué se audita, quién revisa, qué criterios se usan. Si tu proceso es "confiar en la IA", la auditoría no funciona.
Si no cumples este requisito: La auditoría será inconsistente y los errores se pasarán por alto.
3. Herramientas de auditoría independientes
La IA que audita debe ser independiente de la IA que genera. Si usas la misma IA para generar y auditar, la auditoría no detectará los errores que la IA generadora no detectó.
Si no cumples este requisito: La auditoría será inefectiva porque la IA generadora y la IA auditora comparten los mismos sesgos.
4. Equipo de desarrollo capacitado
La IA necesita que alguien supervise la auditoría. Si no tienes un desarrollador senior que revise los resultados y tome decisiones, la IA es inútil.
Si no cumples este requisito: Las alertas se acumulan y nadie las revisa. El código vulnerable llega a producción.
El checklist: ¿está tu empresa lista para auditar código generado por IA?
Nivel 1: Lo básico (hazlo antes de empezar)
- Inventario de código: Lista todos los repositorios y archivos de código que tu empresa tiene. Identifica cuáles fueron generados por IA.
- Proceso de revisión: Define el proceso de revisión de código: qué se revisa, quién revisa, qué criterios se usan.
- Herramientas de auditoría: Verifica que tienes herramientas de auditoría independientes de la IA generadora.
- Infraestructura: Verifica que tienes infraestructura para correr la IA de auditoría localmente (o un proveedor en Chile).
Nivel 2: Lo importante (hazlo en las primeras 2 semanas)
- Auditoría de claves: Implementa la detección de claves de API, tokens y credenciales hardcodeadas.
- Auditoría de inyecciones: Implementa la detección de vulnerabilidades de inyección (SQL, shell, eval).
- Auditoría de dependencias: Implementa la verificación de dependencias contra bases de datos de vulnerabilidades.
- Auditoría de lógica: Implementa la detección de errores lógicos y condiciones sospechosas.
Nivel 3: Lo avanzado (hazlo en el primer mes)
- Manejo de errores: Implementa la detección de falta de manejo de errores.
- Dashboard: Implementa un dashboard que muestre el estado de seguridad del código.
- Alertas: Implementa alertas para vulnerabilidades críticas.
- Mejora continua: Usa el feedback del equipo para ajustar los modelos y mejorar la precisión.
El trade-off: código sin revisar vs. código auditado por IA
| Aspecto | Código sin revisar (vibe coding) | Código auditado por IA (Personnn) |
|---|---|---|
| Velocidad de desarrollo | Muy rápida | Rápida (auditoría automatizada) |
| Seguridad | Baja (sin revisión) | Alta (auditoría independiente) |
| Detección de vulnerabilidades | No (nadie revisa) | Sí (IA detecta patrones) |
| Coste | Bajo (pero riesgo alto) | Medio (infraestructura propia) |
| Escalabilidad | Escala (más código = más riesgo) | Escala (más código = misma auditoría) |
| Privacidad | Depende del sistema | Alta (todo en tu infraestructura) |
| Requiere conocimiento técnico | No (pero riesgoso) | Sí (o un proveedor como Personnn) |
| Falsos positivos | N/A | Medios (requiere ajuste) |
Qué hace Personnn
Personnn tiene productos que ayudan a auditar código generado por IA sin exponer código fuente:
Inference: Modelos de IA que corren en tu infraestructura. La auditoría de código puede procesar código fuente sin enviarlo a terceros.
DataForge: Prepara, limpia y estructura tus repositorios para que la IA pueda analizarlos. Conecta tus sistemas (GitHub, GitLab, Bitbucket) y consolida el código en una fuente única de verdad.
Search: Motor de búsqueda semántica que busca en tu código por significado. Útil para encontrar patrones de vulnerabilidad, claves expuestas y dependencias inseguras.
Higiene web / npmsecure: Herramientas que auditan la seguridad de tu sitio web y tus dependencias de npm. Detectan claves de API expuestas, dependencias vulnerables y configuraciones inseguras.
Para empezar, entra a personnn.com/higiene y revisa cómo funciona la auditoría de seguridad web.
Fuentes
- 8,8 billones de intentos de ciberataque en Chile 2025. Fuente primaria: SEK (Security Ecosystem Knowledge), reporte "Think Ahead" (datos 2025), publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. De los 8,8 billones, 5 billones son escaneos activos. Verificado por web_fetch (vuelta 16).
- 16% de brechas involucran delincuentes con IA: proviene de una columna de opinión publicada en BioBioChile el 21 de julio de 2026. No se pudo verificar la metodología ni la fuente primaria. Tratar como estimación no verificada. Verificado por web search (vuelta 16).
- Informe de Materialidad de Grandes Empresas. La Tercera, junio 2025. Escasez de talento + irrupción de IA. Verificado por web search (vuelta 16).
- Ley 21.719: vigente desde el 1 de diciembre de 2026. Protección de datos personales en Chile. Fuente: tramitacion.senado.cl + varelaabogados.cl + boostify.cl + tline.cl. Verificado por web search (vuelta 16).
- Las cifras de "5 riesgos", "4 requisitos" y "12 puntos" son una estructura editorial, no datos verificables. Se tratan como framework de evaluación.
- Los ejemplos ilustrativos (claves de API, inyecciones, dependencias) son ejemplos genéricos, no datos verificables. Se tratan como estimaciones no verificadas.