El espejismo del código perfecto: la IA no nos protege, nos hace más dependientes

Un rincón coordinado por Francisco Javier Rodríguez Amorín

«El verdadero valor no proviene solo de la inteligencia del modelo, sino de una innovación en IA más democrática, menos concentrada y basada en un ecosistema sostenible»

Sr. Amandeep Singh Gill, Subsecretario General de las Naciones Unidas y Enviado Especial para las Tecnologías Digitales y Emergentes (India)

La promesa de una IA que escribe y protege código oculta una peligrosa ilusión: la de que la complejidad algorítmica puede sustituir a la responsabilidad humana. Mientras las grandes tecnológicas celebran la automatización de la programación y la ciberseguridad, una pregunta incómoda permanece sin respuesta: ¿estamos delegando la seguridad de nuestro mundo digital en algoritmos que no entienden el mundo?

El espejismo del programador «aumentado»

Lo que comenzó como un simple autocompletado —GitHub Copilot fue el pionero en 2021— se ha transformado en un ecosistema de asistentes que prometen no solo escribir código, sino diseñar arquitecturas completas. Empresas como Alibaba con Tongyi Lingma, Baidu en China, o Anthropic con Claude en Occidente, compiten por ofrecer el asistente definitivo. Los modelos abiertos como Code Llama de Meta o DeepSeek prometen además soberanía tecnológica: ejecutar modelos en infraestructuras propias, fuera del alcance de los gigantes estadounidenses.

El concepto de programador aumentado suena bien: el humano dicta la lógica, la máquina se encarga de la sintaxis repetitiva. Pero un estudio de GitClear de 2025 sobre 150 millones de líneas de código encontró que el código generado por IA tiene un 41% más de probabilidades de ser modificado en los 30 días posteriores a su publicación, lo que sugiere que los programadores están corrigiendo errores que la IA introdujo. La IA no aumenta la capacidad; en muchos casos, la sustituye y genera deuda técnica invisible. Y la industria lo celebra como productividad.

El negocio de la inseguridad: cuando la IA «protege»

Si la IA puede escribir código, también puede analizarlo. Esta es la segunda cara de la moneda, y quizá la más rentable. Herramientas como Mizos (Israel), CodeQL, Snyk o Checkmarx prometen encontrar vulnerabilidades críticas antes de que los atacantes las exploten.

Tomemos un caso concreto. Mizos se presenta como una IA que «entiende el contexto semántico del código». Pero su documentación técnica revela que se basa en modelos entrenados con vulnerabilidades conocidas (CVE). Esto significa que, como cualquier herramienta de escaneo estático, es excelente para encontrar vulnerabilidades ya documentadas, pero tiene una tasa de falsos positivos que, según estudios del NIST, puede superar el 30% en código complejo. Cuando se enfrenta a código novedoso o a ataques de día cero, su eficacia se desploma. No es que Mizos sea mala; es que la promesa de una IA que «razona» sobre el código es, en gran medida, marketing.

El propio equipo de Meta reconoce que sus modelos de IA para seguridad tienen serias limitaciones para detectar vulnerabilidades complejas, con una tasa de acierto inferior al 50% en pruebas con código real. El problema no es técnico, es estructural: el mercado premia la velocidad y la espectacularidad, no la fiabilidad. Y nosotros, los usuarios, pagamos el precio.

Geopolítica de la vulnerabilidad: el mapa oculto de la IA

El artículo de la semana pasada sobre IA en la guerra nos mostró cómo los algoritmos deciden quién vive y quién muere en Gaza. Este artículo es su complemento: la guerra también se libra en el código que escribe y protege nuestro software.

No es casualidad que empresas israelíes como Mizos o Checkmarx lideren el mercado de la ciberseguridad. El informe de IRIDIA documenta cómo la industria de vigilancia israelí, probada en los territorios ocupados, se comercializa globalmente como «probada en combate». Lo que se prueba en Gaza se vende después a gobiernos y empresas de todo el mundo. El negocio de la seguridad no es neutral: es geopolítico.

En Europa, el auge de modelos como Mistral AI y el impulso a la soberanía tecnológica suenan bien. Pero el hardware sigue siendo estadounidense (NVIDIA, AMD), los modelos más potentes son chinos (DeepSeek) o estadounidenses (OpenAI, Anthropic), y la inversión europea en IA es, según datos de la Comisión Europea, una fracción (menos del 10%) de la de sus competidores. La «soberanía» europea es, por ahora, un deseo más que una realidad.

América Latina y la India son mencionadas a menudo como nuevos polos de innovación. Pero la CEPAL advierte que la región depende casi por completo de infraestructura extranjera. La «innovación» en estos territorios es, en muchos casos, adaptación de modelos ajenos, no creación original. Celebrarlo como globalización es ignorar las relaciones de poder que la sostienen.

El coste humano de la automatización

La evolución más reciente es la de los agentes autónomos que prometen gestionar todo el ciclo de vida del software: revisar código, generar pruebas, documentar, incluso colaborar entre sí mediante protocolos como el Model Context Protocol (MCP). ForAllSecure, que ganó el desafío de ciberseguridad de DARPA, promete un sistema que encuentra vulnerabilidades y propone parches automáticamente.

Pero surge una paradoja: si la IA escribe y protege el código, ¿qué hacemos con los programadores? Las universidades, desde Stanford hasta Tsinghua, están formando a la próxima generación. Pero ¿los están formando para que razonen o para que operen máquinas de razonamiento?

La mayoría de los estudiantes de informática usa ChatGPT o Copilot a diario. No para aprender, sino para «hacer los trabajos más rápido». Si les preguntas cómo funciona el código que entregan, la respuesta es un encogimiento de hombros. Como ya explicamos, la IA alucina porque no entiende, solo predice. Y si los programadores dejan de entender, el código se convierte en un castillo de naipes construido sobre predicciones. Una investigación de Stanford de 2025 encontró que los programadores novatos que usan IA generan código con un 25% más de errores de seguridad que los que programan sin ella, porque tienden a confiar en la salida de la IA sin verificarla.

La decisión no es tecnológica, es política

La IA está transformando la programación y la ciberseguridad, sí. Pero la transformación no es neutral. Está ocurriendo bajo el signo del mercado, la competencia geopolítica y la fe ciega en la tecnología.

El problema de fondo no es técnico. No es que los modelos sean imperfectos (lo son, y siempre lo serán). El problema es que hemos delegado en ellos una responsabilidad que no pueden asumir: la de proteger sistemas críticos sin entender el mundo que esos sistemas gobiernan. La IA no sabe qué es un hospital, una central eléctrica o un sistema de votación. Solo sabe predecir la siguiente palabra o el siguiente token de código.

La solución no es «más regulación» o «mejores modelos». Es reconocer que la seguridad no es un problema algorítmico, sino humano. La pregunta que debería cerrar este artículo no es «¿cómo podemos hacer que la IA sea más segura?», sino «¿por qué estamos construyendo sistemas que no podemos entender ni controlar?».

Más artículos sobre IA en LoQueSomos

• El genio, el algoritmo y el físico: sobre la IA en la ciencia y la investigación.
• Inteligencia Artificial en la Guerra: el uso militar de los algoritmos.
• ¿Por qué alucina la IA?: los límites de los modelos de lenguaje.
• Cómo funciona una neurona artificial: la base matemática de la IA.

Bibliografía

Para profundizar en los temas abordados, se sugieren las siguientes lecturas e investigaciones, que incluyen tanto fuentes técnicas como análisis críticos del impacto social y geopolítico de la IA.

• Guo, D., et al. (2024). «DeepSeek-Coder: When the Large Language Model Meets Programming». arXiv preprint arXiv:2401.14196. (DeepSeek AI, China).
• Bhatt, S., et al. (2024). «CyberSecEval 2: A Wide-Ranging Cybersecurity Evaluation Suite for Large Language Models». arXiv preprint arXiv:2404.13161. (Meta AI, EE. UU.).
• Luccioni, A. S., et al. (2023). «Counting Carbon: A Survey of Factors Influencing the Emissions of Machine Learning Computing». arXiv preprint arXiv:2302.08476. (Hugging Face y Carbontracker, EE. UU./Internacional).
• IRIDIA (2025). «Las puertas de entrada de la tecnología del genocidio en Europa». Informe de investigación sobre la industria de vigilancia israelí y su expansión en el mercado europeo.
• +972 Magazine (2024). «Lavender: The AI System Directing Israel’s Bombing Campaign in Gaza». Investigación periodística sobre el uso de IA en la identificación de objetivos militares.
• CEPAL (2025). «Índice Latinoamericano de Inteligencia Artificial (ILIA) 2025». Documentos de Proyectos, LC/TS.2025/68/Rev.1. Naciones Unidas.
• Bender, E. M., et al. (2021). «On the Dangers of Stochastic Parrots: Can Language Models Be Too Big?». Proceedings of the 2021 ACM Conference on Fairness, Accountability, and Transparency.
• Scharre, P. (2018). Army of None: Autonomous Weapons and the Future of War. W. W. Norton & Company.
• GitClear (2025). «AI Code Quality Study 2025». Análisis de 150 millones de líneas de código.
• Stanford HAI (2025). «Novice Programmers and AI-Assisted Coding». Investigación sobre el impacto de la IA en la calidad del código generado por estudiantes.

Francisco Javier Rodríguez Amorín, con el apoyo de Zia y DeepSeek.