Profundización: Navegar por las vulnerabilidades generadas por los asistentes de codificación de IA
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6576ddbb71567b1a6e8b4c0c_Web%20Hero%20Dark%20(1).png)
Profundización: Navegar por las vulnerabilidades generadas por los asistentes de codificación de IA
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6576dd99915bb98abc5abd65_Web%20Thumbnail%20light.png)
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6576dcc4883c9d3bd21f9ef1_XZQGBIxk_l_evjhKBBRZf-hVr_pV2q6ShVPJsCibxqQLIH60DuxDzB0qO8al1gqalBdA4q6qilEM9O2R7GQP_j8LRdwdgQyOAnoMpq5cEDmj3RI3SOvBEwv8zGU5hxkUnIaaHkaifab0QqQCvrCfT84.webp)
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/65bb7e7895cebcb682203e12_Tablet%20Full-Page%20Interstitial%20-%20Landscape%201024%20x%20768%20(2).webp)
Misión: Cross-site scripting (XSS) en 'ChatterGPT'.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébalo tú mismo. Esta misión revela la interfaz familiar de un popular LLM, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6578c737f25bdcb5e99a656c_Frame%208775.webp)
Recursos para empezar
Agente fiduciario de Secure Code Warrior
Descubra SCW Trust Agent, una solución innovadora diseñada para mejorar la seguridad alineando los conocimientos y habilidades de código seguro de los desarrolladores con el trabajo que envían. Proporciona una visibilidad y unos controles exhaustivos de todo el repositorio de código de una organización, analizando cada confirmación en función de los perfiles de código seguro de los desarrolladores. Con SCW Trust Agent, las organizaciones pueden reforzar su postura de seguridad, optimizar los ciclos de vida de desarrollo y ampliar la seguridad impulsada por los desarrolladores.
Puntuación de confianza por Secure Code Warrior
Descubra SCW Trust Score, una referencia pionera en el sector que le ayudará a medir la eficacia de su programa de seguridad. Compárelo con sus homólogos del sector, optimice su postura de seguridad y tome decisiones basadas en datos para mejorar la seguridad del software.
Recursos para empezar
Las mujeres en la seguridad están ganando: Cómo la AWSN está creando una nueva generación de supermujeres de la seguridad
Secure-by-Design es la última iniciativa en boca de todos, y el gobierno australiano, colaborando con CISA en los niveles más altos de la gobernanza mundial, está orientando un estándar más alto de calidad y seguridad del software por parte de los vendedores.
Las mujeres en la seguridad están ganando: Cómo la AWSN está creando una nueva generación de supermujeres de la seguridad
Secure-by-Design es la última iniciativa en boca de todos, y el gobierno australiano, colaborando con CISA en los niveles más altos de la gobernanza mundial, está orientando un estándar más alto de calidad y seguridad del software por parte de los vendedores.
SCW Trust Agent: visibilidad y control para ampliar la seguridad impulsada por los desarrolladores
SCW Trust Agent, presentado por Secure Code Warrior, ofrece a los responsables de seguridad la visibilidad y el control necesarios para ampliar la seguridad impulsada por los desarrolladores dentro de las organizaciones. Al conectarse a los repositorios de código, evalúa los metadatos de commit del código, inspecciona a los desarrolladores, los lenguajes de programación utilizados y las marcas de tiempo de envío para determinar los conocimientos de seguridad de los desarrolladores.
¿Está preparado su programa de seguridad para el Plan Estratégico de Ciberseguridad de CISA?
El Plan Estratégico de Ciberseguridad impulsa cambios importantes en la forma en que la mayoría de las organizaciones abordan la ciberseguridad, y los desarrolladores se encuentran en una posición única para ayudar a alcanzar esos nuevos objetivos.
Profundización: Navegar por las vulnerabilidades generadas por los asistentes de codificación de IA
Se mire por donde se mire, existe una fijación constante con la tecnología de IA en casi todas las verticales. Alabada por algunos como la respuesta a la creación rápida de funciones en el desarrollo de software, la ganancia en velocidad tiene un precio: la posibilidad de que se introduzcan graves errores de seguridad en las bases de código, gracias a la falta de conocimiento contextual de la propia herramienta y a los escasos conocimientos de seguridad de los desarrolladores que confían en ella para aumentar la productividad y generar respuestas a situaciones de desarrollo difíciles.
La tecnología LLM (Large Language Model) representa un cambio radical en las herramientas de asistencia y, si se utiliza de forma segura, podría convertirse en el compañero de programación en parejas que tantos ingenieros de software anhelan. Sin embargo, se ha demostrado rápidamente que el uso descontrolado de las herramientas de desarrollo de IA puede tener un impacto perjudicial, y un estudio de 2023 de la Universidad de Stanford reveló que la dependencia de los asistentes de IA probablemente daría lugar a un código con más errores e inseguro en general, además de un aumento de la confianza en que el resultado es seguro.
Aunque es válido suponer que las herramientas seguirán mejorando a medida que avance la carrera por perfeccionar la tecnología de la IA, una serie de recomendaciones -incluida una nueva Orden Ejecutiva de la Administración Biden, así como la Ley de Inteligencia Artificial de la UE- convierten su uso en un camino complicado en cualquier caso. Los desarrolladores pueden adelantarse perfeccionando sus habilidades de seguridad a nivel de código, su concienciación y su pensamiento crítico en torno a los resultados de las herramientas de IA y, a su vez, convertirse en ingenieros de mayor nivel.
¿Cómo introducen vulnerabilidades los asistentes de codificación de IA? Juega a nuestra NUEVA misión pública y compruébelo usted mismo.
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/6576dcc4883c9d3bd21f9ef1_XZQGBIxk_l_evjhKBBRZf-hVr_pV2q6ShVPJsCibxqQLIH60DuxDzB0qO8al1gqalBdA4q6qilEM9O2R7GQP_j8LRdwdgQyOAnoMpq5cEDmj3RI3SOvBEwv8zGU5hxkUnIaaHkaifab0QqQCvrCfT84.webp)
Ejemplo: Cross-site scripting (XSS) en 'ChatterGPT'.
Nuestra nueva misión pública revela la interfaz familiar de un LLM popular, y utiliza un fragmento de código real generado a finales de noviembre de 2023. Los usuarios pueden interpretar este fragmento e investigar cualquier posible fallo de seguridad si se utilizara para el fin previsto.
Basándose en la pregunta: "¿Puedes escribir una función JavaScript que cambie el contenido del elemento HTML p, cuyo contenido se pasa a través de esa función?", el asistente de IA produce obedientemente un bloque de código, pero no todo es lo que parece.
¿Has jugado ya al desafío? Si no es así, inténtalo ahora antes de seguir leyendo.
... vale, ahora que lo has completado, sabrás que el código en cuestión es vulnerable a cross-site scripting (XSS).
El XSS es posible gracias a la manipulación de la funcionalidad básica de los navegadores web. Puede producirse cuando una entrada no fiable se muestra como salida en una página, pero se interpreta erróneamente como código ejecutable y seguro. Un atacante puede colocar un fragmento malicioso (etiquetas HTML, JavaScript, etc.) dentro de un parámetro de entrada que, cuando se devuelve al navegador, se ejecuta en lugar de mostrarse como datos.
Uso seguro de los asistentes de codificación de IA en el desarrollo de software
Una encuesta reciente realizada a equipos de desarrollo en activo reveló que casi todos ellos (el 96 %) han empezado a utilizar asistentes de IA en su flujo de trabajo, y que el 80 % incluso se salta las políticas de seguridad para mantenerlos en su conjunto de herramientas. Además, más de la mitad reconoció que las herramientas de IA generativa suelen crear código inseguro, aunque es evidente que esto no frenó su adopción.
En esta nueva era de los procesos de desarrollo de software, desalentar o prohibir el uso de estas herramientas es poco probable que funcione. En su lugar, las organizaciones deben permitir que sus equipos de desarrollo utilicen las ganancias de eficiencia y productividad sin sacrificar la seguridad o la calidad del código. Esto requiere una formación precisa sobre las mejores prácticas de codificación segura, y darles la oportunidad de ampliar sus habilidades de pensamiento crítico, asegurándose de que actúan con una mentalidad de seguridad en primer lugar, especialmente al evaluar la amenaza potencial de la salida de código del asistente de IA.
Para saber más
Para XSS en general, consulte nuestra guía completa.
¿Quiere saber más sobre cómo escribir código seguro y mitigar los riesgos? Pruebe gratis nuestro desafío de inyección XSS.
Si está interesado en obtener más directrices de codificación gratuitas, consulte Secure Code Coach, que le ayudará a mantenerse al día de las mejores prácticas de codificación segura.
![](https://cdn.prod.website-files.com/5fec9210c1841a6c20c6ce81/65bb7e7895cebcb682203e12_Tablet%20Full-Page%20Interstitial%20-%20Landscape%201024%20x%20768%20(2).webp)
Recursos para empezar
Las mujeres en la seguridad están ganando: Cómo la AWSN está creando una nueva generación de supermujeres de la seguridad
Secure-by-Design es la última iniciativa en boca de todos, y el gobierno australiano, colaborando con CISA en los niveles más altos de la gobernanza mundial, está orientando un estándar más alto de calidad y seguridad del software por parte de los vendedores.
SCW Trust Agent: visibilidad y control para ampliar la seguridad impulsada por los desarrolladores
SCW Trust Agent, presentado por Secure Code Warrior, ofrece a los responsables de seguridad la visibilidad y el control necesarios para ampliar la seguridad impulsada por los desarrolladores dentro de las organizaciones. Al conectarse a los repositorios de código, evalúa los metadatos de commit del código, inspecciona a los desarrolladores, los lenguajes de programación utilizados y las marcas de tiempo de envío para determinar los conocimientos de seguridad de los desarrolladores.
Agente fiduciario de Secure Code Warrior
Descubra SCW Trust Agent, una solución innovadora diseñada para mejorar la seguridad alineando los conocimientos y habilidades de código seguro de los desarrolladores con el trabajo que envían. Proporciona una visibilidad y unos controles exhaustivos de todo el repositorio de código de una organización, analizando cada confirmación en función de los perfiles de código seguro de los desarrolladores. Con SCW Trust Agent, las organizaciones pueden reforzar su postura de seguridad, optimizar los ciclos de vida de desarrollo y ampliar la seguridad impulsada por los desarrolladores.