Anthropic acaba de lanzar Claude Code Security. Por qué son excelentes noticias para el sector
Escrito por
0 minutos de lectura
En resumen: No entres en pánico; el nuevo producto Claude Code Security valida claramente hacia dónde se dirige el sector. Es una señal contundente que demuestra la importancia de la seguridad de las aplicaciones. Si quieres una visión general, lee la publicación de mi colega. Esta publicación profundiza un poco más.
Anthropic anunció Claude Code Security, una nueva capacidad integrada en Claude Code que usa IA para analizar bases de código en busca de vulnerabilidades de seguridad y sugerir parches. Si has estado al tanto del sector de la seguridad últimamente, probablemente ya hayas visto las reacciones. Las acciones de ciberseguridad están cayendo. Los expertos dicen que es el principio del fin para los proveedores de seguridad. Un tuit particularmente viral sugirió que Anthropic acaba de dejar sin trabajo a todo el sector de AppSec.
Y, a ver, entiendo el entusiasmo. La demostración es impresionante. Opus 4.6 encontró más de 500 vulnerabilidades de día cero que antes se desconocían en bases de código de código abierto, incluidos errores que habían pasado desapercibidos durante décadas a pesar de la revisión de expertos. Solo en la biblioteca CGIF, Claude descubrió un desbordamiento de búfer en el heap al razonar sobre el algoritmo de compresión LZW, algo que las pruebas fuzz guiadas por cobertura tradicionales no pudieron detectar ni siquiera con un 100 % de cobertura de código. Es una capacidad significativa.
Pero esto es lo importante: las reacciones apresuradas no ven el panorama completo. Y la verdadera historia tiene muchos más matices y es mucho más interesante que «la IA reemplaza las herramientas de seguridad».
Lo que las reacciones pasaron por alto y la arquitectura validó
La narrativa predominante parece ser: «Anthropic creó una IA que encuentra vulnerabilidades, por lo tanto, las herramientas de seguridad tradicionales quedaron obsoletas». Es algo así como decir: «Creamos un detector de humo muy bueno, así que los departamentos de bomberos quedaron obsoletos».
Encontrar vulnerabilidades es importante. Pero no es la parte difícil.
Lo repito para quienes están al fondo: encontrar vulnerabilidades nunca ha sido la parte difícil.
La parte difícil, la que mantiene despiertos por la noche a los equipos de AppSec y genera atrasos de varios años y conversaciones de «lo vemos en el próximo sprint», es corregirlas. A gran escala. En cientos de repositorios. Sin romper nada. Mientras los desarrolladores lanzan funciones nuevas a toda velocidad. En código que no escribieron, con bibliotecas que no eligieron y en lenguajes que quizá no dominen.
Si alguna vez trabajaste en un equipo de seguridad, sabes exactamente a qué me refiero. El flujo de trabajo se parece a esto:
La herramienta de seguridad encuentra una vulnerabilidad
El equipo de seguridad clasifica y prioriza el hallazgo
El equipo de seguridad crea un ticket y se lo asigna a... un desarrollador
El desarrollador revisa el ticket tres sprints después
El desarrollador intenta entender la vulnerabilidad y su contexto
El desarrollador intenta corregirla y quizá introduce un problema nuevo en el proceso
El equipo de seguridad vuelve a analizar y el ciclo se repite
Este ciclo agota a los profesionales de AppSec y frustra a los desarrolladores. Y ningún análisis mejor, tenga o no tecnología de IA, resuelve este ciclo fundamental. Sigues generando trabajo que al final recae sobre un desarrollador.
Claude Code Security parece una tecnología muy interesante. Pero es una herramienta de análisis y detección: encuentra problemas y sugiere parches. Sin duda, es valiosa, pero la pregunta que todo ingeniero sénior y profesional de AppSec debería hacerse es: ¿qué pasa después del análisis?
La ironía de la que nadie habla
Esto es lo que ha estado notablemente ausente de la conversación y de las reacciones apresuradas: los mismos modelos de IA que encuentran vulnerabilidades también las crean.
Los datos al respecto son preocupantes. BaxBench, un benchmark de ETH Zurich, UC Berkeley e INSAIT que evalúa LLM en tareas de programación de backend críticas para la seguridad, descubrió que el 62 % de las soluciones generadas incluso por los mejores modelos son incorrectas o contienen vulnerabilidades de seguridad. Claude Opus 4.5 de Anthropic, el modelo con mejor rendimiento, generó código seguro y correcto solo el 56 % de las veces sin instrucciones específicas sobre seguridad.
El análisis de CodeRabbit muestra una situación similar: el código generado por IA tiene 2.74 veces más probabilidades de introducir vulnerabilidades XSS, 1.91 veces más probabilidades de introducir referencias inseguras a objetos y 1.57 veces más probabilidades de presentar hallazgos de seguridad en general que el código escrito por personas.
Detengámonos un momento en eso. Tenemos modelos de IA capaces de encontrar 500 vulnerabilidades de día cero en código de código abierto. También tenemos modelos de IA que introducen vulnerabilidades en casi la mitad del código que generan. La misma tecnología es tanto el problema como (parte de) la solución. No es una contradicción; es simplemente la realidad actual. Y significa que toda estrategia de seguridad seria debe tener en cuenta ambos lados de esta ecuación.
No puedes resolver un problema solo con análisis si tus herramientas también lo están creando. Necesitas un sistema que prevenga vulnerabilidades desde el momento en que se crean, detecte las que se escapen, las corrija automáticamente y controle todo el proceso a escala empresarial. Eso no es un escáner. Es una plataforma.
Cómo debería ser realmente la arquitectura
Hablemos de cómo se integran las herramientas de seguridad en un flujo de desarrollo moderno, porque es en la arquitectura donde está la verdadera clave.
En un entorno empresarial típico actual, tu infraestructura de seguridad se parece a esto:
El cuello de botella siempre ha estado a partir del paso 6. Ahí es donde la velocidad se desploma. Ahí es donde el tiempo medio de corrección (MTTR) pasa de horas a semanas y luego a meses. Y con la programación asistida por IA, que genera un aumento del 20 % en las solicitudes de cambios (PR) por autor (según el Engineering Benchmark 2026 de Cortex), el atraso crece más rápido que nunca. Más código significa más errores. Más errores con la misma cantidad (o menos) de ingenieros de seguridad significa una fila cada vez más larga.
Pero esto es lo que Anthropic acierta en su anuncio, aunque el mercado no lo vea: la IA debe formar parte del ciclo de corrección, no solo del ciclo de detección. El avance no es «la IA puede encontrar vulnerabilidades»; los buenos escáneres llevan años haciéndolo. El avance es «la IA puede razonar sobre el código lo suficiente como para corregir vulnerabilidades». Y esa es precisamente la tesis en la que hemos estado trabajando en Snyk.
La mejor seguridad combina IA y análisis determinista
Antes de explicar lo que hemos creado, quiero abordar algo directamente: esto no es un debate entre «determinista e IA». Ese planteamiento no da en el clavo.
El razonamiento ampliado de la IA es increíble para ciertas tareas. Los descubrimientos de vulnerabilidades de día cero con Opus 4.6 lo demuestran. ¿Encontrar un desbordamiento de búfer en el heap al comprender conceptualmente la compresión LZW? Eso requiere una comprensión integral del código que ningún escáner tradicional puede alcanzar. Lo mismo ocurre con los errores complejos de lógica de negocio, los controles de acceso defectuosos y la omisión de autenticación que abarca varios archivos. Son áreas en las que el razonamiento de la IA realmente destaca.
Pero el razonamiento de la IA también tiene limitaciones bien documentadas. Puede alucinar y señalar con seguridad una «inyección SQL crítica» en una consulta parametrizada que en realidad es perfectamente segura, porque el modelo interpretó mal el flujo de datos. Puede pasar por alto problemas evidentes porque pierde el foco en una base de código extensa o agota su ventana de contexto durante el análisis. Y, en un contexto de seguridad, ambos tipos de fallas tienen un alto costo: los falsos positivos erosionan la confianza de los desarrolladores hasta que empiezan a ignorar los hallazgos, y los falsos negativos dejan vulnerabilidades reales en producción.
El análisis determinista —análisis del flujo de datos, seguimiento de contaminación, ejecución simbólica y comparación de patrones con bases de datos de vulnerabilidades seleccionadas— tiene el perfil opuesto. No descubrirá vulnerabilidades de día cero inéditas. Pero cuando te indica que hay una inyección SQL en la línea 47 de UserController.java, ese hallazgo está respaldado por un flujo de datos concreto desde el origen hasta el destino. Es reproducible, explicable y verificable. La confianza es alta porque el análisis es mecánico, no probabilístico.
Y esto es lo que la mayoría no entiende: en Snyk, estos dos enfoques no son vías separadas. Nuestros equipos de investigación de seguridad usan activamente la IA generativa para descubrir nuevos patrones de vulnerabilidad y, cuando encuentran algo real, convierten ese hallazgo en una regla de detección determinista que se implementa en toda la plataforma. Así, la capacidad de descubrimiento novedoso y creativo de la IA se convierte en detecciones rápidas, confiables y económicas de ejecutar, de las que todos los clientes de Snyk se benefician automáticamente. Obtienes la inteligencia de la investigación con IA sin pagar el costo computacional ni aceptar el riesgo de alucinaciones en cada análisis. Es lo mejor de ambos mundos: la IA se encarga una vez del difícil trabajo de descubrimiento y, a partir de entonces, el análisis determinista detecta de manera confiable ese mismo patrón a escala en todas las bases de código que protegemos.
La respuesta correcta no es elegir un solo enfoque. La respuesta correcta es combinarlos por capas. Usa el razonamiento de la IA donde destaca: para descubrir vulnerabilidades inéditas, detectar errores de lógica complejos y analizar varios archivos. Usa el análisis determinista donde destaca: para detectar patrones de vulnerabilidad conocidos, riesgos de la cadena de suministro y hallazgos críticos para el cumplimiento que requieren un registro auditable. Y luego vuelve a usar la IA para corregirlos, porque generar una corrección a partir de un hallazgo bien comprendido y de alta confianza es exactamente el tipo de tarea que los LLM hacen muy bien.
Y esto es lo que realmente conecta todo: la combinación por capas no es importante solo para la detección. También es fundamental para la corrección. Cuando Claude Code Security genera un parche, ese parche es código generado por IA. Y ya establecimos lo que ocurre con el código generado por IA: BaxBench sitúa la tasa de código inseguro en el 62 % y Veracode, en el 45 %. Así que tienes una IA que encuentra una vulnerabilidad y luego genera una corrección que tiene prácticamente una posibilidad entre dos de introducir una vulnerabilidad nueva. Sin un paso de validación determinista que vuelva a analizar la corrección propuesta antes de integrarla, estarás persiguiendo los problemas que genera tu propio proceso de corrección. El enfoque por capas —razonamiento de IA + validación determinista + corrección con IA + revalidación determinista— no es solo un diagrama arquitectónico atractivo. Es la única forma de que los números cierren.
Esta arquitectura funciona a escala empresarial. Y es lo que hemos estado construyendo.
Esto es exactamente lo que hace Snyk (lo mejor de ambos mundos)
Si has seguido nuestro trabajo con Snyk Studio, notarás algo: la visión arquitectónica detrás de Claude Code Security se parece mucho a lo que ya ofrecemos. La diferencia es que nos hemos enfocado en todo el flujo, no solo en el análisis, y lo hemos construido sobre una plataforma que abarca mucho más que el análisis del código.
Snyk Studio: seguridad sin interrupciones
Snyk Studio integra inteligencia de seguridad directamente en las herramientas de programación con IA que los desarrolladores ya usan, como Claude Code, Cursor, Gemini CLI, Cline y otras. Permite dos casos de uso fundamentales:
Seguridad desde el inicio – Cuando un desarrollador escribe código con un asistente de programación con IA, las directivas de protección de Snyk Studio interceptan automáticamente el código inseguro antes de que el desarrollador siquiera acepte la sugerencia. El asistente de IA ejecuta snyk_code_scan en el código nuevo y, si encuentra algún problema de seguridad, lo corrige en ese mismo momento y en el mismo flujo. Sin tickets. Sin cambiar de contexto. Sin esperar tres sprints. Dados los datos de BaxBench sobre la seguridad del código generado por IA, esto no es opcional: es esencial.
Corrección a escala – Para el backlog de vulnerabilidades existentes, Snyk Studio ofrece Directivas de corrección como /snyk-fix. Esto reduce todo el ciclo de análisis, clasificación, corrección y verificación a un solo comando:
La capa de detección aquí es el motor de análisis determinista de Snyk, que ofrece hallazgos de alta confianza sobre los que la capa de corrección con IA puede actuar sin tener que dudar. Las correcciones las genera el LLM. Así, aprovechas las fortalezas de ambos.
Más allá del código: la plataforma completa
La comparación con Claude Code Security realmente pone de relieve que analizar el código fuente es solo una parte de un problema mucho mayor, y que intentar ejecutar un programa de seguridad empresarial con un escáner de una sola señal, por inteligente que sea, es como intentar diagnosticar a un paciente con solo un termómetro.
Piensa en lo que ocurre cuando tienes hallazgos de varios tipos de análisis en una misma plataforma. Tu motor de SAST marca una posible inyección SQL en el método de un controlador. Tu motor de DAST confirma de forma independiente que ese mismo endpoint se puede explotar en tiempo de ejecución. Tu motor de SCA identifica que la biblioteca ORM que usas tiene una CVE conocida que elude la parametrización en ciertos casos extremos. Por separado, cada hallazgo te dice algo. Juntos, correlacionados en la misma plataforma, te dicen exactamente qué está pasando, por qué y qué debes corregir primero.
A esto nos referimos cuando hablamos de AI Security Fabric: no es una sola herramienta ni un solo tipo de análisis; es un sistema adaptable que conecta todas las señales de seguridad en toda tu cadena de suministro de software. Snyk correlaciona automáticamente los hallazgos de SAST y DAST, conectando un problema en el código identificado por Snyk Code con una vulnerabilidad en tiempo de ejecución detectada por Snyk API & Web para identificar la línea exacta de código responsable de una falla explotable. Eso no se consigue al unir herramientas puntuales. Es una ventaja arquitectónica que se obtiene cuando SAST, SCA, análisis de contenedores, análisis de Infrastructure as Code, DAST y seguridad de API se integran en la misma estructura, con el mismo motor de priorización y corrección.
Y luego está la capa empresarial sobre la que los equipos de seguridad realmente gestionan sus programas: paneles centralizados que agregan el riesgo de miles de repositorios, gobernanza de políticas como código, integración con pipelines de CI/CD e informes que permiten a tu CISO responder «¿cuál es nuestra exposición al riesgo?» y a tu vicepresidente de Ingeniería responder «¿vamos en la dirección correcta con el MTTR?» sin tener que unir datos de seis paneles de distintos proveedores. Un escáner de código, por brillante que sea, no responde esas preguntas. Una estructura de seguridad sí.
Evo: protege la propia pila de IA
Y hay una dimensión de la seguridad que Claude Code Security no aborda en absoluto: proteger tu infraestructura de IA.
Evo by Snyk es nuestro sistema de orquestación de seguridad agéntica, diseñado específicamente para el entorno de desarrollo nativo de IA. Incluye modelado de amenazas de IA que crea automáticamente modelos de amenazas dinámicos a partir de tu código y señala riesgos como la inyección de prompts. También incluye red teaming de IA, que realiza pruebas adversariales continuas en tus modelos y agentes, simula atacantes adaptables y genera evidencia verificable de explotación. Además, incluye AI-SPM (gestión de la postura del software), para que sepas exactamente qué modelos de IA, conjuntos de datos, frameworks y herramientas se usan en toda tu organización, incluida la «IA en la sombra» que los equipos de seguridad ni siquiera conocen. Y ofrece análisis de agentes para tener visibilidad de todas las cadenas de herramientas, como servidores y habilidades de MCP en los entornos de desarrollo, con controles de seguridad en tiempo real.
En enero de 2026, nuestro equipo de investigación descubrió cientos de habilidades maliciosas en ClawHub, el primer ataque importante a la cadena de suministro dirigido a ecosistemas de agentes de IA. Este es el tipo de amenaza que un escáner a nivel de código, por sofisticado que sea, simplemente no puede abordar. Se trata de una superficie de ataque completamente distinta, que requiere herramientas diseñadas específicamente para ese fin.
Esto es validación, no disrupción
Esta es mi opinión sincera sobre lo que significa el anuncio de hoy para el sector de la seguridad: es una validación.
Anthropic, una de las empresas de IA con mayor financiamiento y mayor sofisticación técnica del mundo, analizó lo que podía crear con sus modelos de frontera y decidió desarrollar una herramienta de análisis y corrección de seguridad. No es una coincidencia. Es una señal de que la industria avanza en la dirección correcta: flujos de trabajo de seguridad agénticos y nativos de IA que se integran directamente en las herramientas de desarrollo.
Esta es la misma tesis detrás de Snyk Studio y de la plataforma Snyk en general. El objetivo final no es crear un mejor panel para clasificar vulnerabilidades. Tampoco es generar informes más atractivos ni niveles de gravedad más detallados. El objetivo final es corregir automáticamente tantas vulnerabilidades como sea posible, lo más cerca posible del momento en que se crean y sin interrumpir el flujo de trabajo de los desarrolladores.
No todos los errores se pueden corregir automáticamente; algunos requieren cambios arquitectónicos y otros exigen que una persona evalúe las ventajas y desventajas de la lógica de negocio. Pero la gran mayoría de los patrones de vulnerabilidad comunes que tu equipo encuentra todos los días no debería requerir un ticket de Jira y esperar tres sprints.
Esa es toda la visión.
Y el hecho de que Anthropic esté invirtiendo en este espacio me confirma que estamos construyendo lo correcto. Estas herramientas se complementan: Claude Code Security para detectar a fondo vulnerabilidades nuevas de día cero, y la plataforma de Snyk para ofrecer el pipeline integral, determinista y con IA, desde la prevención hasta la corrección, que las empresas necesitan para gestionar programas de seguridad a escala.
La pregunta nunca fue «¿debería participar la IA en la seguridad?». La pregunta siempre fue «¿cómo se construye esto de forma confiable, integral y lista para la empresa?». La respuesta combina el razonamiento de la IA y el análisis determinista, integrados en capas y en las herramientas de desarrollo, y respaldados por una plataforma que cubra toda la cadena de suministro de software, incluida la propia cadena de suministro de IA.
Qué significa esto para ti
Si eres ingeniero sénior o profesional de AppSec, este es mi consejo práctico:
La venta masiva de acciones de ciberseguridad es una reacción exagerada. El mercado reacciona a los titulares, no a la arquitectura. Encontrar vulnerabilidades es una parte necesaria, pero insuficiente, de un programa de seguridad. El verdadero valor está en el ciclo de corrección, que requiere una integración profunda con tus herramientas actuales, detección por capas en la que puedas confiar y capacidad para operar a escala empresarial.
Prueba Claude Code Security. En serio. Si mantienes código de código abierto o trabajas en un proyecto donde importa detectar vulnerabilidades nuevas de día cero, vale la pena explorar la versión preliminar de investigación. Lo que Opus 4.6 hizo con GhostScript y CGIF es realmente innovador.
Pero basa tu programa de seguridad en una plataforma, no en una herramienta puntual. Para las operaciones diarias de AppSec, necesitas una pila completa que aborde cientos de patrones de vulnerabilidad conocidos, riesgos de la cadena de suministro, configuraciones incorrectas de contenedores, desviaciones de IaC y gobernanza de modelos de IA. Necesitas detección determinista y razonamiento de IA. Necesitas prevención desde el inicio y corrección automatizada a escala. Necesitas monitoreo de seguridad, paneles y gobernanza empresarial. Y cada vez más, necesitas proteger las propias herramientas de IA.
Eso es lo que hace Snyk. Aprovecha los mismos asistentes de programación con IA que tus desarrolladores ya usan, incluido Claude Code, y los convierte en agentes conscientes de la seguridad que pueden prevenir vulnerabilidades desde el inicio y corregir las existentes a escala. Y lo hace sobre una plataforma que cubre el código, las dependencias, los contenedores, la infraestructura, las API y la pila de IA.
Pruébalo
La forma más sencilla de evaluar esta propuesta es probarla. Snyk Studio es gratis y configurarlo toma solo unos minutos. Te recomiendo empezar por aquí:
Si ya usas Claude Code (y, dado lo que acaba de lanzar Anthropic, es muy probable que así sea), la guía de integración de Claude Code te mostrará cómo conectar Snyk Studio a tu flujo de trabajo actual. En unos cinco minutos, tendrás el análisis determinista y el comando de corrección /snyk-fix funcionando en tu terminal.
Si quieres entender cómo funciona el sistema de directivas, incluidos los controles de Secure at Inception y las Directivas de corrección, consulta la documentación de directivas. Puedes personalizarlas y adaptarlas a la pila tecnológica y la tolerancia al riesgo específicas de tu equipo.
Y si quieres conocer la plataforma en su conjunto, la página del producto Snyk Studio es un buen punto de partida, junto con Evo para la dimensión de seguridad de IA.
El futuro de AppSec no consiste en crear mejores escáneres. Consiste en cerrar automáticamente el ciclo entre detección y corrección, a escala, sin ralentizar a los desarrolladores y en toda la superficie de ataque, incluida la pila de IA. El hecho de que Anthropic esté invirtiendo mucho en esta misma dirección me confirma que la industria ya entendió dónde está la verdadera oportunidad. Y con Snyk, puedes empezar a aprovecharla hoy mismo.
Ebook
Del enfoque Shift Left a la seguridad desde el inicio: la evolución de AppSec en la era de la IA
Descubre por qué la seguridad debe comenzar desde el inicio de la codificación. Conoce cómo Snyk Studio ofrece la inteligencia, la automatización y las barreras de protección necesarias para gobernar la programación con IA y garantizar que la protección sea parte inherente de la innovación.