Complacencia con la automatización, edición seguridad
El momento más peligroso no es el día uno — es el día noventa. El día uno eres cauteloso; lees cada diff, ejecutas el de atacante, revisas el manejador de subidas. Luego se lanzan cien cambios y no pasa nada malo, y las comprobaciones empiezan a sentirse como ceremonia. Te saltas el filtro de revisión "solo esta vez" en un cambio pequeño. Ese cambio pequeño añade un sin verificación de autorización. No pasa nada durante un tiempo, porque que no pase nada es exactamente el aspecto que tiene un agujero de seguridad desde dentro.
Esto es complacencia con la automatización aplicada a la seguridad, y es peor aquí que en cualquier otro sitio, porque los fallos de seguridad son silenciosos y diferidos. Una función rota te castiga en minutos. Una verificación de permisos rota te recompensa con éxito aparente hasta el mismísimo día de la brecha. La ausencia de desastre no es evidencia de seguridad — es la condición normal de una app vulnerable que simplemente aún no ha sido encontrada.
La defensa consiste en hacer que el filtro sea lo bastante barato como para no saltártelo y lo bastante automático como para que no puedas. Pon el escaneo de secretos y el audit en la para que se ejecuten sin depender de tu memoria, y mantén a mano el prompt de atacante para cualquier cosa que toque autenticación, datos o subidas. Mantén una línea firme: un cambio que maneje datos de usuario o permisos no se lanza hasta que alguien — tú, con la ayuda honesta de la IA — haya intentado activamente romperlo. La velocidad en el vibe coding viene de buenos filtros, no de confiar en que el silencio significa que todo va bien.