El término «vibe coding» se ha popularizado recientemente en la comunidad de desarrolladores. Describe una nueva forma de programar: ya no escribiendo el código uno mismo, sino dejando que una inteligencia artificial generativa lo genere a partir de una simple descripción. Ya no se pide «hazme una función», sino que se expresa una intención, un ambiente, una idea. Y el código surge de esta interacción conversacional.

Este enfoque transforma profundamente la relación con el desarrollo de software. Abre el camino a una productividad sin precedentes, pero también a una pérdida de control y a la aparición de nuevos riesgos en materia de ciberseguridad.

Del código a la conversación

El «vibe coding» se inscribe en la línea del auge de los asistentes de programación como GitHub Copilot, ChatGPT, Claude o Code Llama. Estas herramientas transforman las instrucciones expresadas en lenguaje natural en líneas de código ejecutables. El desarrollador ya no programa directamente: dialoga con la máquina, describe una necesidad y, a continuación, ajusta el resultado según sea necesario.

La evolución más destacada radica en el paso de la «ingeniería de prompts» a lo que podríamos denominar «ingeniería de vibraciones». En otras palabras, el usuario ya no especifica la sintaxis ni las restricciones técnicas: expone su intención general. La IA deduce el marco, la lógica e incluso, en ocasiones, la estética del resultado. Se pasa del código ordenado al código intuitivo, del texto funcional a la expresión de una sensación.

Esta tendencia seduce por su sencillez. Permite crear prototipos rápidamente, experimentar sin barreras técnicas y acelerar el desarrollo de herramientas internas, sitios web de presentación o scripts de integración. Pero detrás de esta aparente fluidez se esconde una pérdida de control y de vigilancia.

Un código que funciona, pero que no es seguro

El principal riesgo del «vibe coding» reside en la confianza excesiva que se deposita en el código generado. 

Las investigaciones llevadas a cabo por la Universidad de Stanford en 2023 y, posteriormente, por la de Nueva York en 2024, han demostrado que los modelos de IA producen código con vulnerabilidades en casi uno de cada dos casos. Estos errores no siempre son visibles: el código se ejecuta correctamente, pero presenta fallos en la lógica de la aplicación.

Las vulnerabilidades más frecuentes se refieren a las inyecciones SQL, las fallas XSS, la gestión inadecuada de las credenciales o incluso el uso de bibliotecas obsoletas. La ilusión de la perfección generativa puede, por tanto, ocultar una profunda fragilidad.

Otro reto es el de la contaminación del software. Los modelos de IA se entrenan con enormes corpus de código de código abierto, cuya calidad varía considerablemente. Algunos investigadores han demostrado que es posible contaminar deliberadamente estos corpus insertando en ellos código malicioso. La IA puede entonces reproducir estos fragmentos sin evaluar su peligrosidad, lo que introduce en los proyectos dependencias comprometidas o errores sistemáticos.

Por último, la cuestión de la confidencialidad de los datos se plantea con especial intensidad en esta práctica. Muchos usuarios proporcionan en sus consultas ejemplos de configuración, claves API o fragmentos de código interno. Sin embargo, esta información puede ser conservada por los proveedores de IA, lo que expone a la empresa a un riesgo de fuga indirecta.

Regular el uso del código generativo

Ante esta rápida transformación, las direcciones técnicas y los responsables de seguridad están empezando a regular el uso de estas herramientas. Resulta imprescindible contar con una política de uso clara y precisa. Los equipos deben aprender a no incluir nunca secretos ni datos confidenciales en sus interacciones con la IA. Los resultados generados deben someterse a pruebas y auditorías antes de su puesta en producción, preferiblemente en entornos aislados.

Las herramientas de análisis estático, como SonarQube o Semgrep, permiten automatizar parte de esta verificación. Pero nada sustituye a una revisión del código por parte de un desarrollador con experiencia. El papel del desarrollador está evolucionando: ya no es solo un creador de código, sino que se convierte en garante de su fiabilidad y conformidad.

La formación es un factor clave. Comprender la lógica de los modelos generativos, sus sesgos y sus límites forma parte ahora de las competencias fundamentales del desarrollo seguro.

El seguro cibernético a prueba del código de IA

Esta transformación tecnológica no deja indiferentes a las aseguradoras. Las pólizas de seguro cibernético (pero solo estas) están empezando a incluir (o a excluir) de sus coberturas los incidentes relacionados con el uso de herramientas de inteligencia artificial en el desarrollo de software. El principio de responsabilidad se vuelve difuso: ¿quién es responsable de una vulnerabilidad introducida por una IA? ¿El desarrollador que la ha utilizado? ¿La empresa que la emplea? ¿El proveedor o el entrenador del modelo?

Algunos casos recientes ya ponen de manifiesto la complejidad de estas situaciones. Cuando una vulnerabilidad derivada de un código generado expone datos sensibles, la cadena de responsabilidad se fragmenta. Las aseguradoras tendrán que adaptarse a esta zona gris, al igual que las empresas deberán documentar con precisión sus procesos de desarrollo asistidos por IA. La tarea parece ardua si tenemos en cuenta que muchas empresas recurren a desarrolladores autónomos.

Una revolución que hay que dominar

El «vibe coding» supone un punto de inflexión en la forma de concebir el software. Hace que la programación sea más accesible, más fluida, casi artística. Pero también impone un nuevo rigor. Allí donde se ganaba en intuición, ahora hay que redoblar el método.

La inteligencia artificial puede programar rápido, bien y con creatividad. Pero aún no sabe evaluar las consecuencias de sus decisiones, ni garantizar la seguridad de lo que produce. El reto de los próximos años consistirá en combinar el poder de la automatización con la vigilancia humana, en hacer que la velocidad y la verificación coexistan.

Programar «por intuición» no es un error. Es un avance, siempre y cuando no se renuncie nunca al control. La IA puede escribir el código, pero es el ser humano quien debe asumir su fiabilidad y responsabilidad.