El 70% de los desarrolladores dice que el código de IA tiene más vulnerabilidades; el 30% lo envía de todos modos — Encuesta de Checkmarx

La encuesta anual de seguridad de aplicaciones de Checkmarx a 2.350 desarrolladores, CISOs y responsables de seguridad de aplicaciones revela un panorama sombrío: el 70% de los encuestados cree que el código generado por IA contiene significativamente más vulnerabilidades, pero el 30% envía a sabiendas código vulnerable a producción. El estudio de 2026 sigue informes similares desde 2023, con una muestra un 54% mayor este año.

Hallazgos principales

• La proporción de código generado por IA disminuyó ligeramente — del 54% al 49% del código en producción, pero sigue siendo alta.
• El 70% reporta significativamente más vulnerabilidades con código generado por IA en comparación con el código escrito por humanos.
• El 30% envía a sabiendas código vulnerable de IA a producción, citando presión para implementar rápidamente, dificultad para corregir o dependencia de otros controles.
• El 93% de las organizaciones sufrieron una o más brechas de seguridad por aplicaciones vulnerables (frente al 98% del año pasado).
• El código abierto representa el 59% del código en producción, lo que añade riesgo de paquetes maliciosos en npm, PyPI.
• Las organizaciones donde el 81-100% del código es generado por IA envían código vulnerable a una tasa 3,4 veces mayor que aquellas con una adopción del 1-20%.

Los investigadores de Checkmarx descubrieron que los LLM tienden a subutilizar las funciones de seguridad modernas del lenguaje y el compilador porque los datos de entrenamiento contienen prácticas obsoletas. Un estudio separado de la Universidad de Florida Central y la Universidad de Birzeit mostró que el código C tenía la mayor cantidad de vulnerabilidades generadas por IA, y Python la menor.

Cita del informe: "El riesgo está normalizado". Los autores advierten que el volumen de código IA se correlaciona directamente con el despliegue de código vulnerable y la frecuencia de brechas.