La adopción masiva de asistentes de programación ha acelerado la producción de software, pero también está introduciendo nuevas vulnerabilidades en sistemas en producción.
Un estudio del laboratorio Systems Software & Security Lab de la Universidad de Georgia Institute of Technology ha identificado 74 CVE directamente vinculadas a código generado por IA, lo que refuerza la preocupación sobre la seguridad del desarrollo asistido por inteligencia artificial.
74 CVE confirmadas y crecimiento acelerado
El proyecto Vibe Security Radar, desarrollado por el laboratorio, ha estado rastreando bases de datos públicas de vulnerabilidades desde mayo de 2025.
Los hallazgos clave incluyen:
- 74 CVE confirmadas vinculadas a código generado por IA
- 35 nuevas CVE solo en marzo de 2026
- 6 en enero y 15 en febrero (crecimiento exponencial)
- 39 vulnerabilidades clasificadas como críticas o de alta severidad
Las herramientas más frecuentemente asociadas incluyen asistentes como GitHub Copilot, Cursor, Amazon Q y agentes como Devin AI.
Un problema de visibilidad: el código “invisible” de la IA
Uno de los problemas más importantes identificados es la dificultad para rastrear el origen del código generado por IA.
Según los investigadores:
- Algunas herramientas dejan rastros (como Claude Code)
- Otras, como sugerencias inline, no dejan metadatos rastreables
- Esto provoca un subregistro significativo de vulnerabilidades
El resultado es que las 74 CVE confirmadas podrían representar solo una fracción del problema real.
Estimaciones más amplias: hasta 700 vulnerabilidades posibles
El equipo del proyecto estima que:
- El número real podría ser entre 5 y 10 veces mayor
- Esto implicaría entre 400 y 700 casos potenciales
- Muchos aún no detectados por falta de trazabilidad
Esto sugiere un problema estructural: la industria no tiene visibilidad completa sobre el código generado por IA que termina en producción.
Pipelines de CI/CD bajo presión
El estudio se complementa con datos del informe State of Software Delivery 2026 de CircleCI, que muestra señales de tensión en los procesos de entrega de software:
- Tasa de éxito en ramas principales: 70.8% (mínimo en 5 años)
- Tiempo medio de recuperación de builds fallidos: 72 minutos
- Aumento del 13% interanual en tiempos de recuperación
Esto refleja que los sistemas de integración continua están siendo saturados por el volumen de cambios generados, en parte, por herramientas de IA.
El cuello de botella ya no es escribir código
Expertos del sector coinciden en un cambio estructural:
- Antes: el problema era escribir código rápido
- Ahora: el problema es validar, revisar y desplegar código seguro
Organizaciones como Thoughtworks señalan que la integración se ha convertido en el principal límite del desarrollo moderno, no la generación de código.
Herramientas populares bajo la lupa
El investigador Hanqing Zhao señala que herramientas como Claude Code aparecen frecuentemente en los registros no necesariamente por ser más inseguras, sino porque dejan rastros más fáciles de rastrear (como metadatos de commits).
Esto introduce un sesgo de visibilidad: lo que se puede rastrear parece más problemático que lo que permanece oculto.
Implicaciones: un cambio estructural en la seguridad del software
El estudio plantea una conclusión clara:
- El problema no es solo la calidad del código generado por IA
- Es la falta de trazabilidad y control en su integración
- Y la velocidad de adopción supera la capacidad de auditoría
Esto crea una brecha creciente entre producción de software y validación de seguridad.