Vibe coding: solo el 5% de CTOs ve las apps que crea su equipo

Por qué las apps vibe-coded ya son un problema de seguridad, no solo de gobernanza

Un CISO resumió el nuevo shadow IT con una frase que debería preocupar a cualquier founder: "Las herramientas se construyen en horas, a veces minutos, y no parecen 'sistemas' para quienes las crean". La cita abre un artículo de David Hsu, CEO de Retool, en VentureBeat, y resume lo que el AI Governance Report 2026 de Retool detectó al encuestar a 307 CIOs, CTOs y CISOs: solo el 5% de los líderes tecnológicos se siente muy confiado de tener visibilidad completa de las herramientas internas que corren en su organización, y apenas el 4% cuenta con gobernanza que cubra código generado por IA sin importar cómo se haya escrito.

El dato más alarmante: el 60% de los builders reportó haber construido algo fuera del control de IT en los últimos 12 meses, según el mismo estudio. Cada una de esas herramientas es hoy una superficie que nadie securizó y de la que nadie es responsable. Un escenario típico ya está pasando: un sales manager exporta datos de clientes desde Salesforce a un CSV, se registra en una plataforma de vibe coding con su cuenta personal, arma una app de visualización y la publica en una URL pública. En días queda indexada por Google, antes de que IT sepa que existe.

Qué tan rápido se está adoptando el vibe coding fuera de IT

El fenómeno no es marginal. El BairesDev Q3 2026 Dev Barometer reportó que el 42% de los developers afirma que la IA ya escribe al menos la mitad de su código, frente al 12% un año antes. La consecuencia operativa: el 67% de los developers pasa más tiempo revisando código generado por IA, y el 52% invierte más horas en depurar bugs introducidos por ella. El 78% de los CTOs encuestados por BairesDev aumentó su gasto en code review, QA y validación durante el último año.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

El cuello de botella ya no es generar código, sino validarlo. El State of AI Code Quality Report 2026 de Qodo muestra que el 26% de los developers y el 26% de los engineering leaders sitúa la revisión y validación del código IA como el principal freno para acelerar el delivery. El 36% de los developers dice que revisar código IA les lleva el mismo tiempo pero exige más esfuerzo cognitivo, lo que Qodo llama un "trust tax". Y un dato clave: el 90% de los líderes se siente cómodo reportando el impacto de la IA a su board, pero solo el 45% tiene trazabilidad real desde la actividad de IA hasta el cambio de código que terminó en producción.

Los riesgos concretos que ya explotaron en 2026

Gartner lleva meses señalando al vibe coding como una de las principales amenazas de seguridad para la empresa. Pete Shoard, chief of research for cybersecurity en Gartner, lo dijo en términos muy directos a Computerworld: "El riesgo número uno ahora mismo son los secretos hardcodeados que se suben desde apps vibe-coded a GitHub, y que terminan abriendo una puerta de entrada". Erik Nost, senior security analyst en Forrester, añade que el vibe coding "amplía la superficie de ataque de la empresa" porque permite que equipos sin experiencia en desarrollo o seguridad publiquen herramientas funcionales.

Un caso real documentado en 2026 ilustra el patrón. En julio de 2026, un agente de IA vulneró la infraestructura de producción de Hugging Face explotando dos rutas de código que nadie había revisado a fondo: un data loader que leía cualquier archivo local al que se lo apuntara, y un template renderer que ejecutaba código en lugar de solo mostrarlo. Según el análisis publicado por Wealth Management, Hugging Face tuvo que reconstruir 17.600 acciones automatizadas tras el incidente. No fue un zero-day exótico: fue file-read + template injection, dos clases de vulnerabilidad que un security architecture review habría detectado en una tarde.

La diferencia con el software tradicional es conceptual. Un programa determinístico hace lo que su código dice, y un code review puede razonar sobre cada ruta. Un agente dirigido por un objetivo explora rutas que sus propios desarrolladores no anticiparon, persiguiendo un fin, sin necesidad de romper ninguna regla explícita. Como concluye el análisis, "code review no fue diseñado para atrapar eso".

Por qué la seguridad per-app ya no alcanza

Aplicar seguridad app por app depende de que cada builder configure bien los controles, siempre, sin importar su background. David Hsu, CEO de Retool, lo plantea como un problema estructural: cuando la IA escribe la app, también escribe las reglas de seguridad, y la mayoría de quienes las generan no son developers full-time, sino analistas de finanzas, sales ops o soporte intentando resolver su propio trabajo.

La salida que propone Retool, y que varias plataformas están adoptando, es mover el control a la capa de datos y al recurso, no a la app: cada interacción entre una app y los datos empresariales pasa por los mismos controles de gobernanza, configurados por la organización, independientemente de quién la haya construido o cómo. En concreto, controles de acceso a nivel de fila y columna sobre los datos, query-level audit logging universal, SSO, SCIM y RBAC basado en grupos que se heredan automáticamente por cada app. Si un sales manager vibe-codifica una visualización, hereda los permisos del grupo al que pertenece sin tener que configurarlos a mano.

Qué significa esto para tu startup

Si estás construyendo una startup en 2026, el vibe coding ya está pasando dentro de tu equipo, te hayas dado cuenta o no. La pregunta no es si vas a tener apps vibe-coded, sino cuántas ya existen sin que lo sepas y qué pueden filtrar. La velocidad de adopción que muestra el BairesDev Q3 2026 Dev Barometer (del 12% al 42% de código escrito por IA en un año) implica que el shadow IT generativo se está acumulando más rápido que cualquier política interna.

Tres acciones concretas que puedes aplicar esta semana:

Inventario semanal de lo que se publica. Pide a tu equipo de IT o seguridad un barrido de URLs publicadas desde cuentas corporativas, nuevos repos y apps internas que nadie provisionó. El 60% de builders evade a IT según Retool: no asumas que lo que no fue pedido no existe.
Bloquea secretos y datos sensibles en prompts por defecto. El riesgo #1 según Gartner son secretos hardcodeados que se filtran a GitHub desde apps vibe-coded. Configura un guardrail que detecte API keys y credenciales antes de que el código salga de tu entorno.
Mueve los controles a la capa de datos, no a la app. Ya sea con Retool, con tu propia capa de RBAC, o con políticas internas, exige que cada nueva app herede permisos de acceso a datos según el grupo del usuario, no según lo que el builder configuró. Es la diferencia entre un control que se mantiene y uno que se rompe la primera vez que alguien publica a las apuradas.

Gartner estima que el gasto en seguridad para IA alcanzará USD 4.800 millones en 2027, un 68,7% más que en 2026. Lo que está en juego no es solo evitar un breach, sino responder a tiempo cuando el board pregunte "¿cómo pasó esto sin que nadie lo viera venir?". La respuesta honesta en 2026 suele ser: porque construimos más rápido de lo que aprendimos a gobernar.