Blog

Profundización: Navegar por las vulnerabilidades generadas por los asistentes de codificación de IA

Laura Verheyde
Publicado el 11 de diciembre de 2023

Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles. 

La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.

Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.

¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.

... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS). 

El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de codificación de IA en el desarrollo de software

Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.

En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA. 

Para saber más

Para XSS en general, consulte nuestra guía completa.

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

¿Quiere saber más? Descargue nuestro último libro blanco.
Ver recurso
Ver recurso

Explore los riesgos de seguridad de la IA en el desarrollo de software y aprenda a sortear estos retos de forma eficaz con Secure Code Warrior.

¿Quiere saber más?

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Reservar una demostración
Compartir en:
Autor
Laura Verheyde
Publicado el 11 de diciembre de 2023

Laura Verheyde es una desarrolladora de software en Secure Code Warrior centrada en la investigación de vulnerabilidades y la creación de contenidos para Missions y Coding labs.

Compartir en:

Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles. 

La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.

Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.

¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.

... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS). 

El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de codificación de IA en el desarrollo de software

Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.

En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA. 

Para saber más

Para XSS en general, consulte nuestra guía completa.

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

¿Quiere saber más? Descargue nuestro último libro blanco.
Ver recurso
Ver recurso

Rellene el siguiente formulario para descargar el informe

Nos gustaría contar con su permiso para enviarle información sobre nuestros productos y/o temas relacionados con la codificación segura. Siempre trataremos sus datos personales con el máximo cuidado y nunca los venderemos a otras empresas con fines de marketing.

Enviar
Para enviar el formulario, habilite las cookies "Analytics". Siéntase libre de desactivarlas de nuevo una vez que haya terminado.

Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles. 

La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.

Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.

¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.

... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS). 

El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de codificación de IA en el desarrollo de software

Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.

En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA. 

Para saber más

Para XSS en general, consulte nuestra guía completa.

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

¿Quiere saber más? Descargue nuestro último libro blanco.
Acceso a recursos

Haga clic en el siguiente enlace y descargue el PDF de este recurso.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Ver el informeReservar una demostración
Compartir en:
¿Quiere saber más?

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébalo tú mismo. Esta misión revela la interfaz familiar de un popular LLM, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Prueba la misión
Compartir en:
Autor
Laura Verheyde
Publicado el 11 de diciembre de 2023

Laura Verheyde es una desarrolladora de software en Secure Code Warrior centrada en la investigación de vulnerabilidades y la creación de contenidos para Missions y Coding labs.

Compartir en:

Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles. 

La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.

Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.

¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.

Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.

Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.

Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.

¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.

... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS). 

El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.

Uso seguro de los asistentes de codificación de IA en el desarrollo de software

Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.

En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA. 

Para saber más

Para XSS en general, consulte nuestra guía completa.

¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.

Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.

¿Quiere saber más? Descargue nuestro último libro blanco.

Índice

Ver recurso
¿Quiere saber más?

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Reservar una demostraciónDescargar
Compartir en:
Centro de recursos

Recursos para empezar

Más entradas
Centro de recursos

Recursos para empezar

Más entradas