El Vibe coding, la práctica de crear software describiéndolo a un modelo de IA en lugar de escribir y revisar manualmente cada línea, se ha vuelto cada vez más común en la industria tecnológica. Su velocidad y accesibilidad pueden ayudar a las personas a crear productos con menos recursos, pero el código que no se comprende o inspecciona por completo puede introducir riesgos de seguridad.
La empresa de ciberseguridad Apiiro afirmó que un análisis de empresas de Fortune 50 reveló que el vibe coding hizo que los ingenieros fueran cuatro veces más productivos, pero produjo diez veces más problemas de seguridad. Para los principiantes, las siguientes prácticas pueden reducir algunos de los riesgos.
1. Escribe instrucciones precisas y crea un archivo de seguridad persistente
Los modelos de IA pueden tomar atajos para satisfacer una solicitud sin añadir las protecciones adecuadas. Por ello, las instrucciones deben especificar los requisitos de privacidad, las restricciones de acceso, el cifrado y otros controles de seguridad. Los desarrolladores también pueden pedir al modelo que tenga en cuenta la lista de OWASP de las principales vulnerabilidades.
Muchas herramientas admiten contexto o reglas persistentes. Un archivo markdown puede contener los requisitos de seguridad del proyecto para que el modelo los considere durante tareas futuras. La fuente también recomienda elegir herramientas con registros de auditoría, que facilitan el seguimiento de los cambios del proyecto.
2. Mantén las credenciales fuera de las instrucciones y del código fuente
Las claves de API y las contraseñas no deben introducirse en un chat de IA ni incorporarse directamente al código. Si posteriormente las credenciales se suben a GitHub, podrían quedar visibles para otras personas. Restringir el acceso de una herramienta de IA también puede ayudar a reducir el riesgo de ataques de inyección de instrucciones.
Para los principiantes, el enfoque recomendado es almacenar la información confidencial en un gestor de contraseñas y utilizar las funciones de secretos o variables de entorno que ofrecen servicios como Replit, Lovable o Vercel. Cuando esas funciones no estén disponibles, se puede utilizar un archivo .env en el backend, siempre que se excluya mediante .gitignore y nunca se exponga en el frontend de la aplicación. TruffleHog puede ayudar a detectar secretos filtrados accidentalmente.
3. Protege los datos de la aplicación
Las aplicaciones que gestionan cantidades importantes de datos pueden depender de bases de datos SQL, que pueden ser objeto de ataques mediante inyección SQL. Los desarrolladores deben indicar a la IA que parametrice las consultas, sanee las entradas, utilice Server Actions para las operaciones críticas y habilite la seguridad a nivel de fila con políticas adecuadas cuando corresponda.
La fuente también aconseja comprobar que el proyecto utilice versiones actuales de sus bibliotecas. Los sistemas de IA pueden sugerir paquetes que no existen o introducir inadvertidamente dependencias maliciosas, por lo que las recomendaciones generadas deben verificarse antes de adoptarlas.
4. Añade límites de frecuencia
Los límites de frecuencia restringen la frecuencia con la que un usuario o un sistema automatizado puede realizar una acción. Pueden ayudar a reducir la actividad de denegación de servicio, los ataques de fuerza bruta contra contraseñas y los intentos de relleno de credenciales.
Los límites adecuados dependen de la aplicación. Un chatbot de soporte, por ejemplo, podría establecer límites sobre el número de tokens consumidos por cada usuario al día. Cuando sea posible, la fuente recomienda limitar la actividad por ID de cuenta antes que por direcciones IP, lo que dificulta eludir los controles mediante una VPN. Los flujos de verificación por correo electrónico o teléfono y CAPTCHA pueden proporcionar protección adicional contra la actividad no deseada.
5. Revisa y prueba el código generado
Es preferible realizar una revisión profesional del software, pero los desarrolladores también pueden pedir a un modelo de IA que busque vulnerabilidades y pruebe el proyecto frente al OWASP Top 10. Utilizar un modelo diferente para una segunda revisión puede revelar problemas que el primero no detectó.
La fuente enumera varias herramientas diseñadas para evaluar proyectos generados por IA, entre ellas Claude Code Security, Codex Security, Wingman de Stackhawk, CheckVibe, SafeToShip y Vibe App Scanner. Las comprobaciones de seguridad deben continuar después del lanzamiento, ya que se necesita supervisión para identificar nuevos problemas en una aplicación desplegada.
Fuentes: Engadget.