El código generado por IA mejoró la seguridad del código por primera vez en más de un año de mediciones. Claude Opus 5.5 y GPT-6-Sol empatan en la cima con un 73 % de tareas aprobadas, la marca más alta registrada por Veracode en su serie de estudios, y el promedio general subió del 56 % al 62 %.
La cifra importa por el volumen que ya pasa por estos modelos. Chris Wysopal, cofundador de Veracode, recordó que cerca de la mitad del código nuevo ya lo genera una IA. Con esa proporción, seis puntos de mejora se traducen en miles de fallos que nunca llegan a producción.
Del 56 al 62 %: qué cambió en la edición de octubre
Veracode probó 18 modelos con tareas en cuatro lenguajes (Python, C#, JavaScript y Java) y cuatro tipos de debilidad bien conocidos: inyección SQL (CWE-89), criptografía débil (CWE-327), secuencias de comandos entre sitios (CWE-80) e inyección de registros (CWE-117). De ese examen sale el promedio del 62 %, acompañado por una baja en las tareas con vulnerabilidades, del 44 % al 38 %.
El movimiento se reparte mejor que en julio. Diez modelos superan el 60 % de aprobación, frente a solo cuatro en el informe anterior, y apenas dos quedan en la franja del 50 % al 53 %, donde en julio se amontonaban seis de once. Atrás quedó el 68 % de GPT-5.5, el líder del verano, superado por el empate entre Claude Opus 5.5, de Anthropic, y GPT-6-Sol, de OpenAI, ambos con sintaxis perfecta en las pruebas.
La parte baja de la tabla cuenta otra historia. El piso no se movió: los modelos más flojos siguen entre el 44 % y el 50 %, con Nova 2 Lite, de Amazon, en el último puesto con un 44 %. Elegir modelo dejó de ser un detalle de gusto o de precio. Entre el primero y el último hay 29 puntos de diferencia en tareas de seguridad, una brecha que se paga con revisiones, parches y madrugadas de guardia.
Debajo de los dos líderes, la pelea queda apretada: Claude Sonnet 5.5 marcó un 72 %, GPT-5.6-Sol un 70 % y Grok 4.7 un 69 %. GLM 5.3, de Z.ai, alcanzó un 64 % y Gemini 3.8 Flash, de Google, un 62 %, justo en el promedio general.
Java sigue al fondo y la inyección de registros no se mueve
El desglose por lenguaje deja un rezagado claro. Java aprobó solo el 31 % de las tareas de seguridad, casi igual que el 30 % de julio, mientras Python llegó al 64 %, C# al 60 % y JavaScript al 57 %. Para las empresas latinoamericanas con sistemas bancarios, comerciales y de gobierno escritos en Java desde hace años, ese número es el dato práctico del informe: el asistente que ayuda a mantener ese código es, justo ahí, donde más fallos deja pasar.
Por tipo de debilidad, el avance grande vino de las secuencias de comandos entre sitios, la categoría que más se movió en todo el conjunto de datos. La criptografía se mantuvo en un 87 % de aprobación y la inyección SQL en un 84 %, dos frentes donde los modelos responden bien porque el patrón del error es repetido y fácil de reconocer. La inyección de registros quedó plana en un 13 %: exige seguir el recorrido de un dato entre varias funciones, y en ese razonamiento largo los modelos siguen patinando.
Rendimiento y costo: los modelos grandes sacan ventaja
La edición de octubre rompe un empate que se repetía en informes anteriores. Los modelos grandes promedian un 55 % en seguridad frente al 51 % de los pequeños, y los modelos de uso general llegan al 54 % frente al 51 % de los especializados en programar. Escribir código rápido y escribir código seguro resultaron ser habilidades distintas, y los sistemas entrenados solo para programar van detrás en la segunda.
Ese rendimiento tiene precio. Los modelos con mejores notas son los más caros de operar a gran escala, y aun así fallan en más de una de cada cuatro tareas de seguridad. Wysopal planteó la salida sin rodeos: un modelo intermedio con un 60 % de aprobación, combinado con escaneo de seguridad continuo, entrega un resultado más preciso y más barato que un modelo de punta con un 73 % y ninguna verificación encima.
El contexto explica la insistencia en verificar. Datos del reporte anual de la propia Veracode muestran que el 82 % de las organizaciones arrastra deuda de seguridad: vulnerabilidades con más de un año sin corregir. Y el 66 % de los fallos más peligrosos nace en código de terceros, con 358 días de promedio hasta su corrección.
Para un equipo chico en Santo Domingo, Ciudad de México o Bogotá, la lectura es directa: el asistente de IA sirve para avanzar rápido, pero el escaneo posterior no es un lujo de empresa grande. La misma semana dejó otro aviso en esa línea, con los agentes de código y el archivo AGENTS.md usados como trampa contra programadores descuidados. El código generado por IA entra ya en las aplicaciones que usa medio continente, y la seguridad del código que lo acompaña avanzó seis puntos en octubre; los otros 38 puntos de tareas con fallos siguen esperando revisión humana.
Fuente: Veracode vía Business Wire
Foto: Veracode
