Seguridad en vibe coding

¿Cuál es el riesgo?

El "vibe coding" (dejar que la IA escriba la mayor parte del código sin revisar cada línea tú mismo) es rápido, pero trae consigo fallos de seguridad típicos que conviene conocer.

Falta de validación de entradas

El código generado por IA no valida automáticamente las entradas de usuario lo suficiente. Sin instrucciones explícitas, a menudo falta la validación de campos de formulario, parámetros de API o subida de archivos: una puerta de entrada clásica para ataques.

Secretos en el código

Los modelos de IA a veces escriben claves de ejemplo o credenciales de prueba directamente en el código, en vez de moverlas a variables de entorno. Si no se revisa, las API keys o contraseñas acaban en el repositorio.

Dependencias alucinadas (slopsquatting)

Los modelos de IA a veces recomiendan nombres de paquetes que no existen (alucinación). Los atacantes registran justo esos nombres de paquete inventados con código malicioso; este riesgo se llama "slopsquatting". Si instalas sin comprobar lo que sugiere la IA, puedes acabar con malware de esta forma.

Checklist

• Revisión obligatoria: que una persona revise cada cambio generado por IA antes de que llegue a producción
• Comprobación de dependencias: verificar los nombres de paquete sugeridos antes de instalarlos (¿existe de verdad el paquete? ¿qué reputación tiene?)
• Escáner de secretos: buscar automáticamente claves y contraseñas subidas por error
• Mínimo privilegio: el código (y el agente que lo escribe) solo recibe los permisos que realmente necesita