La IA también comete errores de seguridad

La primera vez que revisé en serio un código que me había escrito la IA, encontré mi API key pegada adentro del archivo principal. La app funcionaba perfecto. Y estaba a un clic de subir a GitHub la llave que gasta con mi tarjeta.

Dirijo agentes de IA que construyen software casi todos los días. Justamente por eso esta lección me llegó temprano y me quedó grabada: la IA optimiza para que la cosa funcione, no para que sea segura. Le pedís "haceme un formulario de contacto" y te entrega un formulario que anda. No te avisa que acepta cualquier basura que le manden, ni que el endpoint quedó abierto para que un bot lo llame diez mil veces con tu crédito. No porque la herramienta sea mala: porque no se lo pediste.

Ahí está el punto que casi nadie dice claro: la seguridad es parte del pedido, no un regalo que viene incluido. Si contratás a alguien para pintar tu casa, no esperás que de paso te instale la alarma. Con la IA es igual. "Que funcione" y "que sea seguro" son dos encargos distintos, y si hacés solo el primero, obtenés solo el primero.

Lo aprendí a los golpes suaves, por suerte. Nunca me vaciaron una cuenta, pero encontré de todo en mis propias apps: rutas de administración que respondían sin pedir clave, formularios que aceptaban textos infinitos, claves escritas donde no debían estar. Todo código generado por modelos buenísimos. Todo funcionando de diez.

La parte que me reconcilia con esto: la misma IA que comete el error es excelente encontrándolo. Mi rutina hoy es simple. Cada vez que termino una feature, le pido al mismo asistente que se ponga en modo atacante y me diga las cinco formas más fáciles de romper, robar o gastar en mi app. Siempre encuentra algo. Siempre. Y arreglarlo toma minutos, porque el arreglo también lo escribe ella.

¿Es esto un argumento contra construir con IA? Para nada, es lo contrario. Es la razón por la que alguien como yo puede tener apps publicadas sin haber estudiado sistemas. Pero hay una parte del trabajo que no se delega: la desconfianza. La máquina escribe el código; el criterio de "esto no sale hasta revisarlo" sigue siendo tuyo.

Si construís con IA, adoptá una sola regla y ya estás mejor que la mayoría: nada se publica en internet sin pasar por una auditoría, aunque la haga la misma IA que escribió el código.

Porque al final la cuenta es simple: el código lo escribe la máquina, pero los platos rotos los pagás vos.