Profundización: Navegar por las vulnerabilidades generadas por los asistentes de codificación de IA
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
Explore los riesgos de seguridad de la IA en el desarrollo de software y aprenda a sortear estos retos de forma eficaz con Secure Code Warrior.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónLaura Verheyde es una desarrolladora de software en Secure Code Warrior centrada en la investigación de vulnerabilidades y la creación de contenidos para Missions y Coding labs.
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Ver el informeReservar una demostración¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébalo tú mismo. Esta misión revela la interfaz familiar de un popular LLM, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Prueba la misiónLaura Verheyde es una desarrolladora de software en Secure Code Warrior centrada en la investigación de vulnerabilidades y la creación de contenidos para Missions y Coding labs.
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
Índice
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónDescargarRecursos para empezar
Evaluación comparativa de las competencias en materia de seguridad: optimización del diseño seguro en la empresa
El movimiento Secure-by-Design es el futuro del desarrollo de software seguro. Conozca los elementos clave que las empresas deben tener en cuenta cuando piensan en una iniciativa Secure-by-Design.
DigitalOcean reduce su deuda de seguridad con Secure Code Warrior
El uso por parte de DigitalOcean de la formación Secure Code Warrior ha reducido significativamente la deuda de seguridad, permitiendo a los equipos centrarse más en la innovación y la productividad. La mejora de la seguridad ha reforzado la calidad de sus productos y su ventaja competitiva. De cara al futuro, SCW Trust Score les ayudará a seguir mejorando las prácticas de seguridad y a continuar impulsando la innovación.
Recursos para empezar
Seguridad reactiva frente a seguridad preventiva: Prevenir es mejor que curar
La idea de introducir la seguridad preventiva en el código y los sistemas heredados al mismo tiempo que en las aplicaciones más recientes puede parecer desalentadora, pero un planteamiento basado en el diseño seguro, aplicado mediante la mejora de las competencias de los desarrolladores, puede aplicar las mejores prácticas de seguridad a esos sistemas. Es la mejor oportunidad que tienen muchas organizaciones de mejorar su seguridad.
Ventajas de la evaluación comparativa de las competencias de seguridad de los desarrolladores
La creciente atención que se presta al código seguro y a los principios del diseño seguro exige que los desarrolladores reciban formación en ciberseguridad desde el principio del proceso de desarrollo de software, con herramientas como Secure Code Warrior's Trust Score, que ayudan a medir y mejorar sus progresos.
Impulsando iniciativas de seguridad por diseño para empresas con éxito significativo
Nuestro último documento de investigación, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise, es el resultado de un análisis profundo de iniciativas reales de Secure-by-Design a nivel empresarial y de la derivación de enfoques de mejores prácticas basados en hallazgos basados en datos.
Inmersión profunda: Navegando por la vulnerabilidad crítica CUPS en sistemas GNU-Linux
Descubra los últimos retos de seguridad a los que se enfrentan los usuarios de Linux mientras exploramos las recientes vulnerabilidades de alta gravedad en el Sistema de Impresión UNIX Común (CUPS). Aprenda cómo estos problemas pueden conducir a una potencial ejecución remota de código (RCE) y lo que puede hacer para proteger sus sistemas.