El AI está cambiando quién decide qué software entra en su organización

El AI se ha convertido en parte del desarrollo de software diario. Desde la generación de API y la escritura de pruebas hasta la creación de aplicaciones completas, los asistentes de codificación están ayudando a los equipos de ingeniería a resolver problemas y entregar software más rápido que nunca. Los beneficios de productividad son innegables, y las organizaciones están adoptando rápidamente el AI en todo el ciclo de vida del desarrollo de software.

Mucha de la conversación se ha centrado en el código que genera el AI. ¿Pueden los desarrolladores confiar en el código generado por el AI? ¿Introduce vulnerabilidades? ¿Cómo deben los equipos de seguridad revisarlo? Esas preguntas son importantes, pero no son el cambio más grande que el AI está trayendo al desarrollo de software. El AI ha ido más allá de simplemente generar código, y cada vez más está influyendo en las primeras decisiones de selección de software que dan forma a qué software entra en una organización.

Los asistentes de codificación del AI rara vez construyen aplicaciones desde cero, y componen soluciones utilizando frameworks existentes, bibliotecas de código abierto, SDK, imágenes de contenedor y ecosistemas de paquetes. Cada recomendación da forma a la base de software sobre la que se construye una aplicación, a menudo antes de que un desarrollador revise la primera línea de código generado.

Durante décadas, la primera decisión de confianza en el desarrollo de software perteneció casi por completo a los desarrolladores, pero ahora esa suposición está comenzando a cambiar. Cada vez más, el AI está haciendo la primera recomendación, mientras que los desarrolladores validan el resultado después. Ese cambio sutil tiene implicaciones significativas para la seguridad de la cadena de suministro de software porque cada recomendación lleva una decisión de confianza implícita.

Las organizaciones han pasado años gobernando cómo se construye, prueba y despliega el software. El próximo desafío es gobernar cómo se selecciona el software en un entorno de desarrollo nativo del AI.

La primera decisión de confianza

Cada aplicación depende de software creado por miles de contribuyentes en proyectos de código abierto. Antes de introducir una nueva dependencia, los desarrolladores solían evaluar la documentación, comparar frameworks, revisar la adopción de la comunidad, examinar la cadencia de lanzamiento y considerar si un proyecto era lo suficientemente maduro para la producción. Los desarrolladores no siempre tomaron la decisión correcta, pero cada dependencia se introdujo deliberadamente.

Hoy en día, un desarrollador puede simplemente pedirle a un asistente del AI que “construya una API REST segura con autenticación y soporte para PostgreSQL”. En cuestión de segundos, el AI genera un proyecto funcionando. En el camino, recomienda un tiempo de ejecución, selecciona un framework, hace referencia a una imagen de contenedor base, importa bibliotecas de autenticación, elige SDK, y genera manifiestos de dependencia como package.json, requirements.txt o pom.xml. Los administradores de paquetes resuelven esas dependencias y sus dependencias transitivas durante el proceso de compilación.

La mayoría de los desarrolladores revisan la aplicación que produce el AI, pero solo unos pocos se detienen a examinar cada decisión de software que toma el AI en el camino. El AI ha comprimido la selección de software que antes llevaba horas de investigación en segundos y cada vez más hace la primera recomendación en nombre de los desarrolladores.

Cada recomendación es una decisión de confianza

Cada artefacto de software lleva su propia cadena de confianza. Una biblioteca tiene mantenedores, contribuyentes, procesos de lanzamiento, prácticas de firma, dependencias y procedencia. Una imagen de contenedor hereda software de distribuciones upstream, y un SDK introduce paquetes adicionales, cada uno extendiendo esa cadena de confianza.

Una recomendación del AI puede expandirse rápidamente en cientos de artefactos de software que se convierten en parte de una aplicación. El código abierto siempre ha funcionado de esta manera. Lo que está cambiando es quién toma esas decisiones de confianza primero. Históricamente, los desarrolladores evaluaban y seleccionaban los componentes en los que confiaban. Cada vez más, los sistemas del AI toman las recomendaciones iniciales, mientras que los desarrolladores validan el resultado más tarde.

Suena como un pequeño cambio, pero fundamentalmente cambia cómo las organizaciones deben pensar sobre la seguridad de la cadena de suministro de software.

El AI se optimiza para software que funciona, no para la confianza organizacional

Ninguno de esto significa que el AI esté haciendo recomendaciones malas. Al contrario.

Los asistentes de codificación del AI son buenos para recomendar software porque han aprendido de millones de ejemplos de cómo los desarrolladores resuelven problemas similares. Como resultado, los frameworks populares, las bibliotecas bien soportadas y los patrones de implementación familiares aparecen naturalmente en sus sugerencias, y eso es precisamente lo que hace que estas herramientas sean tan valiosas.

Pero esos objetivos de optimización son fundamentalmente diferentes de las preguntas que los equipos de seguridad de la empresa necesitan responder. El AI no evalúa inherentemente si un paquete se alinea con las políticas de software de una organización, si una imagen de contenedor se reconstruyó desde la fuente, si la procedencia del software se ha verificado o si una dependencia proviene de una fuente de software aprobada.

La funcionalidad, la popularidad y la probabilidad son señales útiles para generar código, pero nunca deben usarse como sustitutos de la verificación.

Por qué necesitamos integrar a la izquierda

Durante años, la seguridad de la cadena de suministro de software se ha centrado en identificar riesgos después de que el software ha entrado en el proceso de desarrollo. Los escáneres de vulnerabilidades, el Análisis de Composición de Software y los SBOM han mejorado dramáticamente la visibilidad del software que contienen las aplicaciones.

Esas herramientas siguen siendo esenciales, pero abordan una parte diferente del problema.

El AI mueve la selección de software mucho antes en el ciclo de vida del desarrollo, así que para cuando los controles de seguridad tradicionales comienzan su análisis, el proyecto generado puede hacer referencia a docenas de dependencias que ahora requieren evaluación, remediación o reemplazo. Las organizaciones siguen reaccionando a decisiones de software que ya han entrado en el flujo de trabajo de desarrollo.

Es por eso que creo que las organizaciones necesitan integrar a la izquierda.

La idea detrás de integrar a la izquierda es simple: la confianza debe establecerse antes de que el software se convierta en parte de una aplicación, no después. A medida que el AI se convierte en un participante activo en el desarrollo de software, ese principio se vuelve aún más importante. La gobernanza debe moverse al punto donde se selecciona el software, no donde se escanea eventualmente.

Las organizaciones necesitan definir fuentes de software de confianza, establecer qué artefactos de software el AI está permitido recomendar y verificar esos artefactos antes de que se conviertan en parte del flujo de trabajo de desarrollo. El objetivo es asegurarse de que el AI acelere la entrega de software dentro de los límites que reflejan los estándares de seguridad, cumplimiento y ingeniería de la organización.

Gobernando la selección de software en la era del AI

Las organizaciones ya definen dónde se puede ejecutar el software, cómo se despliega y quién está autorizado para lanzarlo. Cada vez más, también necesitarán definir qué software el AI está permitido recomendar.

Es aquí donde la Postura de la Cadena de Suministro de Software se vuelve cada vez más importante. Las organizaciones necesitan confianza no solo en el software que construyen, sino también en el software que el AI recomienda en su nombre. Esa confianza proviene de la verificación, las fuentes de software de confianza y la gobernanza que comienza antes de que el software entre en la canalización de desarrollo.

El AI continuará transformando el desarrollo de software, y con razón. Los beneficios de productividad son demasiado significativos para ignorarlos, pero a medida que las organizaciones adoptan el desarrollo nativo del AI, deben reconocer que la selección de software se está volviendo cada vez más automatizada.

Las organizaciones que tengan éxito serán aquellas que establezcan fuentes de software de confianza, verifiquen los artefactos de software que el AI recomienda y integren la gobernanza en la selección de software desde el principio.

El AI está cambiando cómo se escribe el software, pero ahora, más importante aún, está cambiando cómo se elige el software. Porque en la era del AI, el software en el que confías cada vez más depende del software que elige tu AI primero.