Lo que la IA puede copiar y lo que no

Lo que entregas se puede estudiar

Cuando un programa sale de tus manos, quien lo recibe puede abrirlo, mirar cómo funciona y buscarle fallas. Siempre ha sido así. Lo nuevo es el costo.

En octubre de 2026, un investigador publicó lo que llama el primer desbloqueo de la Nintendo Switch 2 y dijo que lo construyó en unas dos semanas con ayuda de una herramienta de IA para programar. Los medios que leímos no lo habían verificado por su cuenta.¹ Ese mismo mes, PHP corrigió dos fallas críticas, y una de ellas la encontró una firma de seguridad usando un modelo de IA.²

No hace falta ser una consola ni un lenguaje de programación para que esto aplique. Una app de tu negocio, un archivo que descargan tus clientes o el código que corre en el navegador de quien visita tu sitio están en la misma situación: se pueden estudiar.

Lo que no se copia de esa forma

Hay cosas que nadie puede desarmar porque nunca las tiene en la mano:

• Lo que se queda en tu servidor. Si la regla de negocio, el cálculo o la llave viven en tu servidor y el cliente solo ve el resultado, no hay nada que abrir.
• La información cifrada con criptografía bien hecha. Sin la llave, lo cifrado no se lee, por rápido que sea quien lo intente.
• Las llaves guardadas en hardware dedicado. Los grandes proveedores de nube ofrecen módulos de hardware hechos para guardar llaves.³

La guía de seguridad para apps móviles de OWASP, una fundación sin ánimo de lucro de referencia en seguridad de software, lo dice así: la seguridad debe apoyarse en un diseño verificable, criptografía fuerte y validación del lado del servidor.⁴

Las llaves de API, el botín de moda

Una llave de API es la contraseña que usa un programa para entrar a un servicio, por ejemplo a una cuenta de IA de tu empresa. Quien la tiene, usa el servicio a tu nombre y con tu factura.

El 20 de octubre de 2026, la firma de seguridad Flare publicó un análisis de más de 100.000 canales de Telegram y 100 foros de la dark web. Las menciones de modelos de IA abiertos a los que les quitaron los frenos pasaron de 11 a 93 en ventanas de 30 días entre enero y octubre de 2026. Según Flare, la mayor parte de lo que se vende parece acceso revendido o robado, es decir, llaves de API de otros. Flare también documenta siete ataques con ayuda de IA entre mayo y octubre de 2026; uno de ellos alcanzó al menos a nueve bancos de Corea del Sur. El propio estudio advierte que sus conteos son un piso y una tendencia, no un censo.⁵

Cinco prácticas para tu negocio

1. Los secretos se quedan en el servidor. Nunca dentro de una app, de un archivo que entregas o del código de la página. OWASP señala que muchas organizaciones tienen sus secretos escritos dentro del código, en texto plano.³
2. Llaves que valgan poco si se filtran. Cada llave con los permisos mínimos que necesita, con fecha de vencimiento y cambiándola cada cierto tiempo, para que una llave robada sirva poco tiempo.³
3. Mira el consumo de tus cuentas de IA. Un gasto que no reconoces puede ser la primera señal de una llave en manos ajenas.
4. Ofuscar ayuda, pero no reemplaza lo anterior. Hacer el código difícil de leer sube el costo de estudiarlo, pero OWASP advierte que no debe usarse como sustituto de una arquitectura de seguridad bien hecha.⁴
5. La protección legal también cuenta. Contratos, licencias y registro de marca protegen lo que la técnica no alcanza. Eso se define con tu abogado.

Si una llave ya se filtró

Revócala y crea una nueva, revisa el consumo reciente de esa cuenta y cambia también las contraseñas relacionadas. OWASP recomienda revocar las credenciales que ya no se necesitan.³

En nuestro servicio de seguridad digital revisamos dónde viven las llaves y los secretos de tu negocio, con tu autorización por escrito y sin pedirte contraseñas.

Pregúntanos cómo lo hacemos para tu negocio, en una llamada gratis de 30 minutos.

Información general, no es asesoría técnica ni legal.