Checkmarx ha publicado su última investigación, que revela una brecha significativa entre el desarrollo de software asistido por IA y las prácticas de codificación seguras.
Según Checkmarx, si bien casi todos los desarrolladores escriben código con IA, menos de uno de cada cinco lo protegen a medida que avanzan, citando el uso limitado de herramientas de seguridad de aplicaciones (AppSec) en el IDE (Entorno de Desarrollo Integrado) y las dificultades para integrar la seguridad en las canalizaciones de CI/CD existentes.
Revelaciones de la investigación
La empresa reveló que la investigación también descubrió que los CISO se enfrentan a presiones similares por parte de los líderes empresariales, y el 95 % afirma sentirse obligado a suprimir o retrasar los problemas de seguridad relacionados con el cumplimiento normativo cuando los plazos de entrega de la empresa están en riesgo.
Estas conclusiones se detallan en el Informe sobre el futuro de la seguridad de las aplicaciones de 2026, que se basa en las respuestas de 2350 CISO, gerentes de seguridad de aplicaciones y desarrolladores de organizaciones en 14 países.
Si bien el 96% de los desarrolladores reconocieron tener herramientas de IA en sus entornos de desarrollo integrados (IDE) y las calificaron casi por unanimidad como efectivas, solo el 18% dijo que aplica la seguridad de forma continua mientras escribe código.
Checkmarx añadió que los datos ponen de manifiesto el inquietante hecho de que las empresas con un 81-100% de código de producción generado por IA tienen casi tres veces más probabilidades de lanzar software con vulnerabilidades de seguridad conocidas que las empresas con un 1-20% de código de producción generado por IA (47% frente a 14%).
El problema de fondo afecta a todos los niveles de uso, ya que el 75 % de las organizaciones implementan código vulnerable a sabiendas en algún momento, impulsadas por los plazos de entrega, la complejidad y la esperanza de que no se descubran fallos.
Principales conclusiones
Según Checkmarx, los principales hallazgos de la investigación incluyen:
- Más vale prevenir que curar. Más del 80 % de los desarrolladores no aplican la seguridad de las aplicaciones de forma continua mientras escriben el código, sino que detectan los problemas en etapas predefinidas, una vez que el código ya existe, o peor aún, reaccionan cuando surgen incidentes. Los fallos detectados tarde son fallos que pueden ser explotados.
- Las organizaciones reconocen el riesgo de la IA, pero la acción es lenta. En un año, la cantidad de código vulnerable distribuido a sabiendas disminuyó del 81 % al 75 %, mientras que las políticas formales de gobernanza de la IA en las empresas aumentaron del 18 % al 22 %. A medida que las ventanas de vulnerabilidad se reducen de años a minutos, los cambios graduales simplemente no son suficientes.
- La falsa madurez es una realidad. El 93 % de las organizaciones reconoció una brecha de seguridad reciente relacionada con sus propias aplicaciones, mientras que el 73 % describe su nivel de seguridad como «avanzado» o «muy maduro». Existe una preocupante discrepancia entre la confianza en la seguridad y la realidad en este ámbito.
- ¿Gobernanza? ¿Qué gobernanza? El 78% de las organizaciones que carecen de políticas formales de gobernanza de IA están dejando la puerta abierta para que proliferen las herramientas de IA no autorizadas y para la explotación del código sin control que producen silenciosamente.
“La IA por sí sola no puede garantizar la seguridad del código”.
Sandeep Johri, director ejecutivo de Checkmarx, explicó: “Este informe pone de manifiesto una enorme desconexión entre la crisis de seguridad a la que se enfrentan las organizaciones y las medidas graduales que están adoptando para abordarla.
“Se necesita un modelo completamente nuevo.”
“Del mismo modo que un estudiante no puede corregir su propio examen, la IA por sí sola no puede garantizar la seguridad del código y, como demuestra la investigación, añade riesgos.
«Las organizaciones necesitan una seguridad que combine la precisión determinista con el razonamiento probabilístico para identificar nuevos patrones explotables, al tiempo que se reduce la brecha entre encontrar una vulnerabilidad y solucionarla con una mejor remediación guiada por humanos», concluyó Johri.
“El problema no son los recursos”.
Yigal Elstein, director de ingresos de Checkmarx, comentó: “Nuestra investigación reveló que más de la mitad (52%) de los CISO europeos habían aumentado sus presupuestos, la mayor proporción de encuestados por región geográfica.
“Sin embargo, los encuestados europeos también registraron la mayor frecuencia de filtraciones, con un 60 % de las organizaciones que informaron de tres o más filtraciones en los últimos 12 meses.”
Elstein continuó: “Al mismo tiempo, Europa tiene la tasa de remediación más lenta, ya que más de un tercio (35%) de las organizaciones corrigen menos de la mitad de las vulnerabilidades identificadas en un plazo de 90 días.
¿Qué podemos deducir de esta discrepancia? El problema no radica en los recursos, ya que un mayor presupuesto no garantiza automáticamente mejores resultados.
“El problema reside, en cambio, en cómo se despliegan estos recursos.
“Sugerimos que, en la era del desarrollo de la IA, las organizaciones no deberían normalizar el riesgo, sino utilizar los recursos disponibles para proteger su código”, concluyó Elstein.
Informe
Según la empresa, el informe “El futuro de la seguridad de las aplicaciones 2026” fue elaborado por Censuswide en nombre de Checkmarx entre el 10 y el 30 de marzo de 2026, encuestando a 2350 CISO, gerentes de seguridad de aplicaciones y desarrolladores en 14 países.
Todas las respuestas fueron confidenciales.
Censuswide es miembro de la Market Research Society y del British Polling Council, y se adhiere al Código de Conducta de la MRS y a los principios de ESOMAR.
El informe completo está disponible de forma gratuita en https://checkmarx.com/foa-report/ .
