"Este ODC está diseñado para ti: seas estudiante de ingeniería, desarrollador que ya usa IA, o investigador en ciberseguridad. El nivel es intermedio a alto. Si conoces al menos un lenguaje de programación y sabes qué es el ciclo de vida del software, estás en el lugar correcto. ¡No tienes que ser experto en seguridad — ese conocimiento lo vas a construir aquí!"

"En esta pantalla tienes acceso al menú principal del ODC. Hay diez módulos en total. Los tres primeros están disponibles ahora mismo: contexto de la IA generativa, el SDLC seguro, y las herramientas de IA más usadas. Los módulos del cuatro al diez estarán disponibles próximamente. Puedes navegar en el orden que prefieras, aunque te recomiendo seguir la secuencia. ¿Por dónde quieres comenzar?"

"Los modelos de lenguaje grandes, o LLM, son sistemas de IA entrenados en enormes volúmenes de texto y código. Su arquitectura base se llama Transformer, propuesta por Vaswani y colaboradores en 2017. Herramientas como GitHub Copilot, ChatGPT, Amazon CodeWhisperer y StarCoder son ejemplos que quizás ya usas. Lo fascinante — y lo peligroso — es que pueden generar código completo en segundos sin que el desarrollador comprenda siempre las implicaciones de seguridad de lo que están aceptando."

"¿Dimensionas la magnitud de la adopción? El noventa y dos por ciento de los desarrolladores en EE.UU. ya usan o planean usar IA. El cuarenta por ciento de las empresas planeaban adoptarla en doce meses. Y aquí viene el dato más preocupante: el cincuenta y cinco por ciento del código sugerido por Copilot se acepta sin ninguna modificación. Si ese código tiene errores de seguridad — y ya vamos a ver que los tiene — el problema es enorme y sistémico."

"Uno de los estudios más impactantes del área fue publicado por Perry y colaboradores en 2023. Dividieron a cuarenta y siete desarrolladores en dos grupos: unos trabajaron solos, otros con IA. El resultado fue contraintuitivo: los que usaron IA produjeron código con más vulnerabilidades. Pero lo más alarmante fue que ese grupo se percibía a sí mismo como más seguro. A eso lo llamamos la brecha de percepción, y es el hallazgo más peligroso porque crea una falsa sensación de seguridad que inhibe la revisión crítica del código."

"Pearce y colaboradores en 2022 evaluaron mil seiscientos ochenta y nueve fragmentos de código de GitHub Copilot en ochenta y nueve escenarios CWE. Resultado: cuarenta por ciento contiene al menos una vulnerabilidad. Para el lenguaje C, ese número sube al cincuenta. Las más frecuentes son CWE-787 desbordamiento de búfer, CWE-089 inyección SQL, y CWE-079 Cross-Site Scripting. Este es el estudio sobre el que se construye gran parte de la investigación de este ODC. Con eso concluimos el Módulo 1. ¡Avancemos al Módulo 2!"

"El ciclo de vida del desarrollo de software tiene seis fases: requisitos, diseño, implementación, pruebas, despliegue y mantenimiento. La IA generativa interviene principalmente en implementación, cuando los desarrolladores escriben código. Pero sus efectos se propagan a todo el ciclo: una sugerencia de arquitectura incorrecta contamina el diseño; una dependencia maliciosa sugerida por IA compromete el despliegue. Por eso el riesgo no es solo de código — es sistémico y afecta todas las fases."

"Para gestionar la seguridad a lo largo del ciclo existen tres marcos de referencia. El Microsoft SDL define doce prácticas obligatorias integradas en el proceso de desarrollo. OWASP SAMM mide la madurez de la seguridad en cinco funciones de negocio con tres niveles de madurez. Y BSIMM, en lugar de decirte qué debes hacer, mide lo que ciento treinta empresas líderes realmente hacen. Los tres comparten un principio: Security by Design — la seguridad desde la primera línea de código."

"DevSecOps significa que la seguridad no es responsabilidad solo del equipo de seguridad — es responsabilidad de todos, desde el primer día. El principio se llama Security as Code. Para IA generativa: en la fase Code, cuando el desarrollador acepta una sugerencia de Copilot, herramientas como Semgrep y SonarLint la analizan en tiempo real. En la fase Build, SonarQube revisa cada commit. Así DevSecOps convierte la seguridad en un proceso continuo y automatizado."

"El principio Shift Left dice que la seguridad debe moverse lo más temprano posible en el tiempo — detectar y corregir en las fases más tempranas. Seacord cuantificó: detectar en desarrollo vale uno; en pruebas, seis veces más; en producción, entre treinta y cien veces más. Con IA generativa, el momento de Shift Left es exactamente cuando estás a punto de aceptar o rechazar una sugerencia. Ese instante — que dura dos segundos — puede salvar o comprometer la seguridad del sistema."

"GitHub Copilot es la herramienta de IA para código más adoptada globalmente. Lanzada en 2021, acumuló más de un millón de usuarios activos en doce meses. Sus capacidades son impresionantes: completa código en tiempo real, genera funciones completas, tiene un chat integrado y soporta más de treinta lenguajes. Pero recuerda el estudio de Pearce: el cuarenta por ciento de lo que genera tiene vulnerabilidades. Y no te avisa cuando te está sugiriendo código inseguro — no tiene análisis de seguridad nativo. Esa es su limitación más crítica."

"ChatGPT es quizás la herramienta de IA más conocida del planeta. En el desarrollo se usa principalmente para debugging, revisión de código, diseño de arquitecturas y generación de pruebas. Sus riesgos son distintos a los de Copilot. El principal es la confidencialidad: si usas el tier gratuito, el código que ingresas puede usarse para reentrenamiento. Nunca ingreses código propietario, credenciales o datos personales en ChatGPT Free. Y existe el riesgo de prompt injection — que OWASP lista como LLM01, la vulnerabilidad número uno en modelos de lenguaje."

"¿Cuáles son las alternativas con mejores perfiles de seguridad y privacidad? Amazon CodeWhisperer tiene análisis de seguridad en tiempo real integrado y cita las referencias CWE cuando detecta vulnerabilidades — es la más segura nativamente. Tabnine puede ejecutarse completamente on-premise, lo que significa que el código nunca sale de la organización. StarCoder es open-source y permite auditar completamente el modelo. Gemini Code Assist ofrece controles de políticas a nivel organización integrados con Google. La elección depende de tu perfil de riesgo y tus políticas de compliance."

"Para cerrar el Módulo 3, tienen la tabla comparativa completa: verde significa que la herramienta cumple el criterio, rojo que no, amarillo parcial. CodeWhisperer, Tabnine y StarCoder tienen los mejores perfiles. Pero recuerden la conclusión más importante: la herramienta no es el único determinante del riesgo — el proceso que la rodea lo es. Cuatro criterios para adopción responsable: verifiquen la política de privacidad del código, integren SAST desde el IDE, prefieran modelos con entrenamiento seguro, y establezcan revisión humana obligatoria. ¡Ahora sí, vayan a la evaluación!"