OpenAI permite a la IA vetar merges de código por vulnerabilidades de seguridad
El equipo de Codex ha integrado modelos de revisión que bloquean automáticamente pull requests con fallos de seguridad, eliminando la revisión humana obligatoria en esa capa.
OpenAI ha implantado un sistema de revisión de seguridad automatizada donde un modelo de IA tiene la potestad de bloquear la fusión de código si detecta una vulnerabilidad. Thibault Sottiaux, responsable del equipo de Codex, confirmó que este control es obligatorio y no requiere la intervención de un revisor humano para ejecutarse.
Este mecanismo no es el único; los modelos también revisan lógica, detectan regresiones, gestionan actualizaciones de dependencias y ayudan en refactorizaciones complejas. Sottiaux describió los resultados de las pruebas de rendimiento como "superhumanos" en la revisión del código, tanto para la corrección funcional como para la seguridad. La capacidad original, que empezó en modelos de revisión independientes, ahora está integrada en los modelos principales de la compañía.
La seguridad como bloqueo absoluto
La distinción clave está en el proceso de fusión. Mientras que otros tipos de errores pueden generar comentarios o sugerencias, un hallazgo de seguridad actúa como un punto de control ineludible: el merge se detiene. Esto cambia la dinámica operativa tradicional, donde la revisión de seguridad a menudo dependía de la disponibilidad y atención de especialistas humanos.
Sottiaux argumenta que esto desplaza el papel del ingeniero humano hacia etapas anteriores del ciclo de desarrollo. En su opinión, la discusión sobre la intención del cambio debería ocurrir durante la planificación, no en la cola de revisión. Con los procesos de despliegue y detección de regresiones cada vez más automatizados, los ingenieros pueden lanzar modificaciones al producto final (ChatGPT, con unos mil millones de usuarios activos) en el mismo día, siempre que la arquitectura subyacente sea sólida.
Además, los agentes de IA están absorbiendo la deuda técnica rutinaria. Tareas como la actualización de bibliotecas de terceros con rupturas de compatibilidad o la aplicación de parches de seguridad menores, que suelen posponerse por falta de tiempo, pueden completarse en horas si la documentación es clara. Incluso refactorizaciones que estimaban meses de trabajo, ahora pueden reducirse a días, haciendo viables proyectos que antes eran demasiado costosos.
Existen, sin embargo, matices en la implementación. El equipo de Codex ha observado una tendencia inversa a la evolución del software tradicional: a medida que mejoran los modelos, la infraestructura auxiliar construida para compensar sus limitaciones (como el comando /goal para mantener el foco en tareas largas) se vuelve obsoleta. De hecho, a veces se decide no construir workarounds si se espera que la próxima generación de modelos resuelva el problema nativamente.
El punto débil evidente sigue siendo la ceguera compartida. Si la IA escribe el código y la IA lo revisa, ambos sistemas pueden compartir el mismo punto ciego. La entrevista no profundiza en cómo se mitiga este riesgo sistémico, aunque la confianza de OpenAI en estos modelos para bloquear código implica que sus falsos negativos tendrían consecuencias directas en la seguridad del producto.
