Los escáneres de código con IA open-source ya están en serio

Semgrep publicó una comparativa directa de los harnesses de seguridad de código con IA open-source. El post mapea cómo estas herramientas detectan vulnerabilidades en repositorios que la IA genera o modifica. No es un artículo de hype. Es una corrida lado a lado.

La comparativa está organizada por lo que las herramientas realmente hacen en la práctica: escaneo, alertas, tasas de falsos positivos y cómo manejan ese terreno medio donde la IA escribe código que parece correcto pero no lo es. El autor pasa por casos de prueba — repos reales, prompts reales — y muestra dónde cada harness se equivoca. Sin logos de vendors. Sin patrocinios. Solo el output.

El post también señala el contexto más amplio: la generación de código con IA se está moviendo rápido. El incidente de hacking reciente de OpenAI, el rol de Starlink en habilitar una red de crimen de $114 mil millones, y la carrera armamentista general alrededor de la seguridad de IA, todo apunta a una cosa: las herramientas que usamos para revisar el código no están al ritmo de las herramientas que lo escriben.

La comparativa no elige un ganador. Elige la herramienta correcta para el trabajo. Algunos harnesses son mejores atrapando inyecciones. Otros son mejores atrapando errores de lógica. Algunos son más rápidos. Otros son más exhaustivos. El autor expone los tradeoffs para que dejes de adivinar.

No hay jerga de Silicon Valley aquí. No hay "leverage." No hay "ecosystem." Solo un developer mirando un repo, corriendo un scanner, y viendo qué aparece en la consola. Ese es el punto. Si tu código sale marcado, lo arreglas. Si no sale marcado, sigues en riesgo.

El post es técnico pero legible. No necesitas un PhD en ciberseguridad para seguirlo. Solo necesitas importarte de que el código que entregas no deje a tus usuarios expuestos.

Por qué nos importa:
Cuando la IA escribe código para nuestras apps, nuestros clientes, nuestros side businesses, necesitamos herramientas que realmente atrapen los errores antes de que lleguen a producción — y esta comparativa nos dice cuáles opciones open-source valen la pena correr en nuestros propios pipelines.