El atractivo de crear apps al instante está chocando con la seguridad básica
Los creadores de aplicaciones asistidos por IA han hecho posible que casi cualquiera genere e implemente una aplicación web en cuestión de minutos. Esa velocidad forma parte de su atractivo. También es, cada vez más, parte del problema.
Según un reportaje de Wired basado en una investigación de la firma de ciberseguridad RedAccess, miles de aplicaciones públicas creadas con herramientas como Lovable, Replit, Base44 y Netlify tenían muy poca o ninguna seguridad significativa. En más de 5.000 casos, las aplicaciones eran accesibles para cualquiera que conociera o adivinara la URL. Cerca del 40% de las aplicaciones analizadas exponía información sensible, según Dor Zvi, cofundador de RedAccess.
El material expuesto descrito en el informe no es trivial. Zvi dijo que los datos incluían información médica, datos financieros, presentaciones corporativas, documentos de estrategia y registros de chatbots de clientes. Wired también indicó que verificó que varias de las aplicaciones expuestas mostradas en capturas de pantalla seguían en línea y accesibles.
No se trata solo de errores
El punto más importante del informe es que muchos de estos fallos no eran defectos de código sutiles. Eran casos de control de acceso ausente o casi inexistente. Algunas aplicaciones, supuestamente, permitían llegar a los datos a cualquiera con un navegador. Otras, al parecer, dependían de barreras endebles, como permitir que un visitante iniciara sesión con cualquier dirección de correo electrónico.
Esta distinción importa porque cambia el modelo de amenazas. Los equipos de seguridad están acostumbrados a buscar defectos explotables en el software. Lo que describe RedAccess es algo más básico: aplicaciones puestas en producción sin un concepto real de quién debería tener acceso.
En ese sentido, el riesgo creado por las apps “vibe-coded” no es simplemente que la IA pueda introducir nuevos bugs. Es que la misma herramienta reduce tanto la fricción para publicar software que algunos creadores omiten por completo decisiones de seguridad fundamentales.
Cómo se encontraron estas apps
RedAccess dijo que el proceso de búsqueda fue sorprendentemente sencillo. Las plataformas citadas en el reportaje permiten alojar aplicaciones en los dominios de la propia empresa, en lugar de en dominios controlados por los usuarios. Los investigadores usaron búsquedas simples en Google y Bing dirigidas a esos dominios, combinadas con otros términos de búsqueda, para identificar un gran número de apps creadas con IA.
Ese detalle debería preocupar tanto a los proveedores de plataformas como a las organizaciones que usan estas herramientas internamente. Sugiere que las aplicaciones expuestas no estaban ocultas en rincones oscuros de la web. Eran detectables mediante métodos de búsqueda ordinarios. Una vez detectables, cualquier capa de autenticación ausente o débil se convierte en una vía directa de exposición de datos.
Por qué esto podría ser un problema organizacional más amplio
Zvi describió el patrón de filtración en términos inusualmente contundentes, diciendo que las organizaciones están exponiendo datos privados mediante aplicaciones de vibe-coding y calificándolo como uno de los mayores eventos de la historia en cuanto a información sensible abierta a cualquiera en el mundo. Incluso dejando de lado la retórica habitual de las revelaciones de seguridad, el patrón subyacente es significativo.
La expansión de las herramientas de desarrollo con IA dentro de las empresas significa que la creación de software ya no está limitada a los equipos de ingeniería tradicionales. Gerentes de producto, analistas, especialistas en marketing y personal de operaciones ahora pueden ensamblar herramientas internas o prototipos orientados al cliente con un prompt y un botón de despliegue. Eso cambia quién escribe el software, pero no cambia lo que el software puede exponer.
Si un empleado conecta una app creada con IA a datos internos y la publica con la configuración predeterminada, el resultado puede ser una filtración a gran escala sin que ningún atacante malicioso tenga que romper un perímetro. La propia aplicación se convierte en la brecha.
El cambio cultural detrás del problema
Parte de la historia aquí es técnica, pero parte es cultural. Las plataformas de programación con IA se venden sobre la base de la inmediatez. Prometen que el software puede producirse como se producen las presentaciones o los documentos: rápido, de forma iterativa y sin demasiada formación especializada. Esa promesa es potente, especialmente dentro de organizaciones que quieren experimentar más rápido.
Pero el software no es solo un artefacto creativo. También es una superficie de acceso. Cuanto más fácil es crear aplicaciones, más fácil es crear aplicaciones inseguras a escala. En ese sentido, el informe de Wired se lee menos como un problema aislado de un proveedor y más como una advertencia temprana sobre una nueva clase de shadow IT.
El problema se amplifica cuando el alojamiento, el despliegue y la facilidad de descubrimiento están integrados en el mismo flujo de trabajo. Si un usuario puede generar una app, conectar datos y publicarla en el dominio de una plataforma importante en cuestión de minutos, entonces la gobernanza tiene que adelantarse. La revisión de seguridad después del despliegue puede llegar demasiado tarde.
Qué debería pasar después
El reportaje no ofrece respuestas formales de todas las plataformas mencionadas, así que la conclusión más defendible es más amplia que cualquier empresa concreta. Los ecosistemas de creación de apps con IA necesitan valores predeterminados más fuertes en torno a la autenticación y la exposición de datos. Los usuarios necesitan advertencias más claras sobre lo que se vuelve público. Y las organizaciones deben tratar los constructores de apps basados en prompts como verdaderos entornos de desarrollo de software, no como herramientas de productividad inofensivas.
La lección general es clara. Cuando la creación de apps se vuelve instantánea, la seguridad no puede seguir siendo opcional ni asumida. El verdadero avance en las herramientas de software con IA no se medirá solo por la rapidez con la que pueden publicar código. Se medirá por si pueden evitar que los creadores inexpertos publiquen también sus datos con ellas.
Este artículo se basa en un reportaje de Wired. Lee el artículo original.
Originally published on wired.com
