Los mantenedores de código abierto se están ahogando en reportes de bugs generados por IA mientras las herramientas automatizadas de seguridad inundan los repositorios con alertas de vulnerabilidad. Los nuevos sistemas de análisis de código, muchos impulsados por IA, están produciendo volúmenes masivos de reportes de seguridad que los mantenedores no pueden revisar o atender de manera realista. El problema se ha escalado rápidamente mientras las empresas se apuran a integrar escaneo de seguridad impulsado por IA en sus pipelines de desarrollo sin afinar la precisión de detección.
Esto refleja lo que hemos visto con los asistentes de codificación IA — capacidades impresionantes socavadas por ratios pobres de señal-ruido en producción. Así como GitHub Copilot genera código sintácticamente correcto pero lógicamente defectuoso, estas herramientas de seguridad identifican patrones que parecen vulnerabilidades pero a menudo no son explotables en contexto. El resultado es una trampa clásica de automatización: herramientas diseñadas para reducir la carga de trabajo humana en realidad la aumentan al generar trabajo que los humanos deben luego validar y descartar.
Lo que hace esto particularmente problemático es la asimetría de esfuerzo. Generar miles de reportes de bugs toma segundos para un sistema de IA, pero cada reporte requiere experiencia humana para evaluarlo apropiadamente. Los mantenedores — ya estirados al límite — ahora pasan más tiempo clasificando falsos positivos que atendiendo problemas reales de seguridad. Algunos proyectos han comenzado a implementar límites de velocidad o requieren verificación humana antes de aceptar reportes automatizados.
La lección aquí hace eco de lo que aprendimos construyendo el sistema automatizado de corrección de bugs de Ramp: la IA funciona mejor cuando maneja el ciclo completo, no solo la fase de detección. Las herramientas que solo identifican problemas sin proporcionar correcciones validadas o puntajes de confianza crean sobrecarga operacional que derrota su propósito. Los mantenedores necesitan IA que reduzca su carga de trabajo, no sistemas que generen trabajo innecesario disfrazado como mejoras de seguridad.