Desarrollo con IA centrado en la seguridad

Programación asistida por IA avanzada para desarrolladores

Thalia Barrera

AI Engineering Curriculum Manager, DataCamp

De pruebas a seguridad

Escudo protegiendo código de la aplicación

Bien probado no significa seguro
Enfócate en prevenir vulnerabilidades antes de producción

Principios de seguridad primero

Diagrama de principios de seguridad primero

✔ Detecta patrones de vulnerabilidades temprano
✔ Corrige con prácticas seguras, no parches
✔ Automatiza los controles de seguridad

¿Por qué IA para seguridad?

IA escaneando código en busca de problemas de seguridad

Escanea código desconocido rápido
Destaca hotspots riesgosos
Propone remediaciones concretas

Revisión de seguridad asistida por IA

🤖 Prompt de seguridad:

Eres un ingeniero/a de seguridad de aplicaciones.

Escanea este repositorio en busca de vulnerabilidades comunes como inyección SQL, cross-site scripting, cross-site request forgery, command injection, ausencia de autenticación y autorización, o exposición de datos sensibles. Sigue el CWE Top 25 Most Dangerous Software Weaknesses.

Para cada hallazgo incluye:

Dónde ocurre y por qué es riesgoso.

Una prueba de concepto mínima (input) que lo dispare.

Salida de la revisión de seguridad

principales vulnerabilidades

Validación con escáneres de seguridad

comandos de escaneo

Valida los hallazgos de IA con scanners
pip-audit → vulnerabilidades de dependencias
semgrep → patrones de código inseguro

Interpretar resultados del escáner

🤖 Prompt para interpretar resultados:

Aquí están las salidas del escaneo. Ayúdame a interpretarlas y lista las vulnerabilidades encontradas, usando sus nombres oficiales cuando existan.

Agrupa los hallazgos en correcciones rápidas, esfuerzo medio y cambios arquitectónicos. Para cada uno, evalúa el riesgo e incluye su severidad.

<copy security reports here>

informes de escaneo

Automatizar controles de seguridad

🤖 Prompt para CI:

Añade los comandos de pip-audit y semgrep al workflow de CI de este código para ejecutar escaneos de seguridad periódicos.

Configura el workflow para fallar con hallazgos de alta severidad y mantener la salida determinista.

ia-ci

Integra en el workflow de CI
Automatiza tests unitarios/de integración
Automatiza auditoría de dependencias y análisis estático
Añade OWASP ZAP para servicios web

Patrones de prompts seguros

Comparación de prompt vago vs seguro

El patrón de tres partes

Modelo de amenazas → qué proteger
Valores seguros por defecto → primitivas más seguras
Tests de validación → evitan recurrencias

Patrón de prompt seguro en tres partes

¡Vamos a practicar!

Programación asistida por IA avanzada para desarrolladores