¿Puedo lanzar una app hecha solo con IA? Depende de quién la vaya a usar
Para validar una idea, mostrarla a inversores o probar un flujo con media docena de personas, puedes y debes hacerlo. Para meter clientes reales, datos personales o pagos, no sin una revisión de seguridad hecha por alguien que entienda del tema.
La razón es simple. La IA optimiza para que las cosas funcionen. Entrega la pantalla de login, el registro, la lista de pedidos. Lo que rara vez entrega por sí sola es la parte invisible: quién puede ver qué, qué ocurre cuando alguien envía un dato extraño, dónde se guardan las contraseñas y las claves.
Mi postura: el vibe coding es excelente para el primer borrador y peligroso como versión final sin revisión. El error más común que se ve es tratar el borrador como si fuera el producto.
Lo que muestra la noticia de esta semana sobre las apps creadas con IA
Una empresa brasileña de calidad y seguridad de software, Sofist, divulgó pruebas hechas en una aplicación comercial de acceso restringido creada con vibe coding. La pantalla no tenía un botón público para crear una cuenta, así que parecía cerrada. Aun así, el servidor aceptaba la creación directa de usuarios que nadie había invitado.
También había un fallo en la etapa de autenticación de múltiples factores. Y el detalle que más llama la atención: según el relato, la app había sido hecha por alguien que ya tenía conocimientos de seguridad.
La lección práctica es que esconder un botón no protege nada. Quien protege es el servidor, y es justamente ahí donde la IA suele dejar huecos. El mismo relato muestra el lado bueno: donde había reglas de acceso aplicadas directamente en la base de datos, el atacante recibió cero registros.
Los fallos más comunes en el código generado por IA
No son fallos exóticos. Son los de siempre, producidos más rápido de lo que alguien puede revisar. Estos son los que más aparecen en los análisis de seguridad sobre este tipo de apps:
- Regla de acceso solo en la pantalla: el botón desaparece, pero la API responde a cualquiera que llame directamente a la dirección.
- Datos de un cliente visibles para otro: el sistema comprueba que has iniciado sesión, pero no que el pedido sea tuyo.
- Claves y contraseñas dentro del código, a veces visibles para cualquiera que abra el navegador.
- Base de datos o panel administrativo abiertos al público por la configuración predeterminada.
- Campos que aceptan cualquier cosa, lo que abre la puerta a la inyección de comandos en la base de datos.
- Login y múltiples factores implementados de una forma que se puede eludir.
Una prueba de 30 minutos que puedes hacer tú mismo
No necesitas saber programar para hacer el primer filtro. Necesitas dos cuentas de prueba y curiosidad.
Crea el usuario A y el usuario B. Con el A conectado, abre un pedido o un perfil y mira la dirección en el navegador: si hay un número o código, cámbialo por el de un registro del B. Si aparecen los datos del B, has encontrado el fallo más clásico de todos.
Después prueba estas verificaciones:
- Abre una página restringida en una ventana de incógnito, sin iniciar sesión. No debería cargar.
- Intenta crear una cuenta por fuera de la pantalla, si la app debería ser solo por invitación.
- Prueba la recuperación de contraseña: ¿revela si el correo existe? ¿Acepta el mismo enlace varias veces?
- Escribe comillas y símbolos extraños en los campos de texto y comprueba si la app se rompe.
- Pídele a quien hizo la app que te muestre dónde se guardan las claves de integración.
Dónde funciona bien el vibe coding y dónde no vale la pena el riesgo
Funciona bien en prototipos, pantallas de demostración, herramientas internas desechables sin datos sensibles y pruebas de concepto. En esos casos, la velocidad vale más que el blindaje.
No vale el riesgo cuando hay datos personales de clientes, cobros, salud, información financiera o cualquier cosa que alcance la LGPD. Una filtración no es solo un problema técnico: genera la obligación de comunicarla, desgaste con el cliente y posibles sanciones.
Existe además un efecto poco comentado. Cada ronda de pedidos a la IA (añade esto, cambia aquello) toca partes del código que nadie ha vuelto a leer. Cuantas más iteraciones sin revisión, más difícil es saber qué sigue en pie. Ver la idea funcionando en un prototipo navegable antes de invertir en el código de verdad es una forma barata de separar el borrador del producto, y es lo que hace SKAD con el prototipo de R$ 99.
Qué exigir antes de llevar una app a producción
Si tu app nació en una herramienta de IA y ahora va a ganar usuarios, no tienes que tirarla. Necesita una revisión con criterio. Pide por escrito estas respuestas a quien vaya a asumir el proyecto:
- ¿Toda regla de permisos se valida en el servidor y no solo en la interfaz?
- ¿Cada consulta de datos filtra por el usuario conectado o por su empresa?
- ¿Los secretos están en variables protegidas, fuera del código y fuera del navegador?
- ¿Existe un límite de intentos de login y un registro de accesos?
- ¿Hay una copia de seguridad probada, con la restauración realmente verificada?
- ¿La revisión la hizo alguien independiente de la persona que generó el código?
Preguntas frecuentes
¿Qué es el vibe coding?
Es crear software describiendo en lenguaje natural lo que quieres a una IA, que genera el código. En muchos casos el resultado se acepta sin una revisión detallada, y ahí es donde están los riesgos.
¿Las apps hechas con IA son inseguras por naturaleza?
No por naturaleza, pero lo predeterminado en la IA es entregar algo que funcione, no algo blindado. Con una revisión del acceso, la autenticación y la configuración, se puede llegar a un nivel aceptable.
¿Puedo usar una app hecha con IA solo dentro de mi empresa?
Puedes, si no tiene datos sensibles y no queda expuesta en internet sin login. Una herramienta interna abierta por error es una de las formas más comunes de filtración.
¿Un escáner automático de seguridad lo resuelve?
Ayuda, pero detecta solo una parte de los problemas. Los fallos de lógica, como que un usuario vea datos de otro, muchas veces exigen una prueba manual hecha por quien entiende el negocio.
Conclusión
Si ya tienes una app hecha con IA, haz hoy mismo la prueba de las dos cuentas y anota lo que encuentres. Si aparece cualquier filtración entre usuarios, deja de promocionar la app hasta corregirla. Y, si aún estás en la fase de la idea, usa la IA para validar el concepto en un prototipo y solo después contrata el código que va a guardar datos de personas de verdad, con una revisión de seguridad independiente incluida en el alcance.