Crear una aplicación ya no exige necesariamente años de experiencia en programación. El avance de las herramientas de inteligencia artificial ha popularizado el llamado vibe coding, una forma de desarrollar software en la que el usuario describe mediante lenguaje natural lo que quiere construir y deja que la IA genere buena parte del código. El término comenzó a utilizarse en 2025 y su adopción ha crecido rápidamente. Según un estudio, el 84% de los desarrolladores ya utilizaba o tenía previsto utilizar herramientas de IA en su trabajo pocos meses después de que el concepto empezara a popularizarse.

La principal ventaja es evidente: permite desarrollar aplicaciones más rápido y reduce las barreras de entrada para personas sin grandes conocimientos técnicos. Sin embargo, ESET, compañía líder en ciberseguridad, advierte de que esta facilidad también puede generar una falsa sensación de seguridad. Una aplicación puede funcionar correctamente y tener un buen diseño, pero seguir escondiendo fallos capaces de poner en riesgo los datos de sus usuarios.

“El problema no es utilizar IA para programar, sino asumir que el código generado es seguro simplemente porque funciona. Las herramientas de este tipo pueden acelerar muchísimo el desarrollo, pero siguen necesitando revisión, pruebas y conocimientos de seguridad”, explica Josep Albors, responsable de Investigación y Concienciación de ESET España.

Cuando una aplicación funciona, pero no está bien protegida

Entre los errores más habituales que pueden aparecer en aplicaciones desarrolladas con una fuerte dependencia de herramientas de IA, ESET señala varios especialmente relevantes.

Uno de ellos es dejar claves API, credenciales u otros datos de acceso directamente dentro del código, lo que puede permitir a un atacante acceder a sistemas internos o a información almacenada en ellos. También pueden aparecer controles de acceso insuficientes, capaces de permitir que un usuario acceda o modifique información perteneciente a otra persona, así como configuraciones públicas por defecto que expongan perfiles o datos que deberían mantenerse privados.

Otros problemas habituales incluyen una protección deficiente de la información almacenada o transmitida, la ausencia de límites frente a intentos automatizados de acceso o errores en la validación de los datos que introduce el usuario.

En las aplicaciones que incorporan sistemas de IA aparece además otro riesgo: la inyección de prompts, una técnica mediante la que un atacante intenta introducir instrucciones maliciosas para alterar el comportamiento del sistema. El riesgo aumenta si esa IA tiene acceso a información privada o puede realizar acciones en nombre del usuario, como enviar mensajes, consultar cuentas o efectuar compras.

ESET recuerda además que el hecho de que una aplicación esté disponible en una tienda o plataforma conocida no garantiza por sí solo que esté libre de vulnerabilidades. Un ejemplo reciente se produjo en una aplicación alojada en la plataforma de desarrollo mediante IA Lovable. Un investigador de seguridad identificó 16 vulnerabilidades en una sola aplicación, seis de ellas consideradas críticas, algunas relacionadas con la exposición de información sensible de los usuarios. La aplicación había acumulado más de 100.000 visualizaciones. La compañía indicó posteriormente que los fallos habían sido solucionados.

Cinco comprobaciones antes de descargar una nueva aplicación

Ante el rápido crecimiento de este tipo de herramientas, ESET recomienda dedicar unos minutos a revisar una aplicación antes de instalarla o facilitarle información sensible:

1. ¿Quién está detrás? Conviene comprobar quién desarrolla la aplicación, cuánto tiempo lleva operando, qué reputación tiene y qué dicen otros usuarios. Una aplicación que se vuelve viral de la noche a la mañana y apenas ofrece información sobre sus responsables debería analizarse con mayor cautela.
2. ¿Qué permisos solicita? Los permisos deben tener sentido en relación con la función de la aplicación. Si una calculadora solicita acceso a la cámara, los contactos o la ubicación sin una razón clara, es recomendable desconfiar. Cuanto mayor sea el acceso a información sensible, mayor será también el impacto potencial de una brecha.
3. ¿Cómo trata tus datos? La política de privacidad debería explicar con claridad qué información recopila la aplicación, dónde se almacena, con quién puede compartirse, durante cuánto tiempo se conserva y cómo puede solicitarse su eliminación.
4. ¿Explica cómo protege la información? Las aplicaciones más fiables suelen ofrecer información sobre sus medidas de seguridad, actualizaciones, mecanismos para notificar vulnerabilidades y protección de credenciales y datos sensibles.
5. Si utiliza IA, ¿a qué puede acceder? Es especialmente importante comprobar qué información y funciones están disponibles para el sistema de IA. Cuanto más acceso tenga a datos personales, cuentas o capacidad para ejecutar acciones, mayor será el riesgo si el sistema es manipulado.

¿Y si ya has utilizado una aplicación comprometida?

Si una aplicación ha sufrido una brecha de seguridad, ESET recomienda cambiar cuanto antes la contraseña asociada y hacer lo mismo en cualquier otro servicio donde se haya reutilizado la misma clave. También es aconsejable activar la autenticación multifactor y revocar accesos concedidos a través de servicios como “Iniciar sesión con Google” o “Iniciar sesión con Apple”.

Desinstalar la aplicación no significa necesariamente que los datos almacenados por el proveedor desaparezcan, por lo que también conviene solicitar la eliminación de la cuenta y de la información asociada cuando sea posible.

Por último, si existen indicios de que la propia aplicación puede ser maliciosa, ESET recomienda eliminarla y analizar el dispositivo con una solución de seguridad de confianza.