Seguridad de Código con IA desde Córdoba, Argentina
Los equipos de ingeniería adoptaron asistentes de codificación con IA mucho antes de que sus herramientas de seguridad se adaptaran. La productividad subió. También subió la cantidad de fallas sutiles que se mergean cada sprint: queries concatenadas a mano, credenciales "de prueba" que terminaron en producción, dependencias viejas que trae el modelo. El SAST tradicional no fue diseñado para eso.
Siblings Software es una empresa nearshore de outsourcing con base en Córdoba, Argentina. Construimos y operamos pipelines de seguridad pensados específicamente para código generado por IA: escaneo a nivel IDE, SAST ajustado, detección de secretos con contexto, análisis de dependencias y automatización de compliance integrada a tu CI/CD. El pipeline frena el código vulnerable antes de que llegue a producción, sin frenar a los desarrolladores.
Hacemos outsourcing de software desde Argentina desde 2014, con clientes en EE.UU., Canadá y Europa. Nuestros ingenieros son seniors, bilingües y trabajan en el huso horario de la Costa Este de EE.UU. (UTC-3).
Por qué el código generado por IA es otro problema de seguridad
Los asistentes de IA generan código sintácticamente correcto la mayor parte del tiempo. El problema es lo que queda debajo de la sintaxis. Los modelos se entrenaron con grandes volúmenes de repositorios públicos y heredaron los mismos patrones que los equipos de seguridad vienen marcando hace una década: SQL por concatenación, deserialización floja, JWT mal implementado, fetchs vulnerables a SSRF, credenciales al lado del código que las usa. Cuando un dev acepta tres sugerencias por hora, esos patrones entran al repo a una velocidad que ninguna revisión humana puede seguir.
Las reglas tradicionales de análisis estático fueron calibradas para un humano escribiendo despacio. Sobre código generado por IA tienden a producir o muy pocos hallazgos (el patrón pasa por debajo) o demasiados (ruido sobre un patrón que el autor de la regla nunca previó). Equipos de seguridad con los que trabajamos reportan que, al pasar a desarrollo asistido por IA, la tasa de falsos positivos en su SAST existente prácticamente se duplicó.
El OWASP Top 10 y el más reciente Top 10 para aplicaciones con LLM describen la misma realidad: los generadores de código con IA reproducen las clases de vulnerabilidad que los humanos ya cometen, solo que más rápido. Inyección y autenticación rota siguen liderando la lista. Lo que cambia es el volumen.
No creemos que la respuesta sea prohibir los asistentes de IA. Esa decisión ya la tomaron, formal o informalmente, casi todas las áreas de ingeniería. La respuesta es construir infraestructura de seguridad que siga el ritmo real con el que se escribe código hoy. Eso es lo que hacemos.
Lo que construimos para vos
La mayoría de los proyectos cubren estas cinco áreas. No todos incluyen las cinco; el alcance depende del stack, del perfil de riesgo y de las obligaciones de compliance.
Escaneo pre-commit
Plugins de IDE para VS Code, Cursor y la familia JetBrains que marcan problemas en el momento en que una sugerencia de IA entra al editor. Un Git pre-commit hook hace de segunda puerta. El dev ve una advertencia roja sobre una credencial hardcodeada, no un ticket tres días después.
Análisis estático ajustado a IA
Usamos motores como Semgrep, CodeQL o el SAST que ya tengas, y agregamos packs de reglas calibrados a los asistentes que usa tu equipo. El Python de Copilot y el TypeScript de Cursor necesitan patrones distintos. Nosotros los escribimos y los mantenemos.
Detección de secretos
Las sugerencias de IA suelen incluir claves API con pinta realista. Nuestro escaneo de secretos va más allá del regex: entiende el contexto para distinguir una clave de Stripe en una fixture de prueba de una clave de producción en un script de inicialización. El escaneo histórico y la rotación de credenciales forman parte del trabajo.
Análisis de dependencias
El código generado por IA suele traer paquetes viejos porque es con lo que aprendió el modelo. Corremos SCA en cada PR, marcamos CVEs conocidos, detectamos librerías deprecadas, revisamos compatibilidad de licencias y seguimos los riesgos transitivos que al modelo le da igual ignorar.
Automatización de compliance
Checks automáticos para SOC 2, HIPAA, PCI-DSS, GDPR y la Ley de IA de la UE. Cada PR se evalúa contra los frameworks que te aplican. El código no conforme se bloquea con una remediación específica, no con un cartel genérico de "revisar".
Nuestro trabajo de seguridad de código con IA se integra con las plataformas que construyen nuestros equipos de Python y Full Stack, y se apoya en nuestra práctica de testing potenciado por IA para cobertura de calidad más allá del escaneo.
Para quién es este servicio
Tres perfiles de comprador suelen terminar en esta página. Si uno te suena, probablemente seamos un buen match.
CTO de una empresa de producto en crecimiento
Tenés entre 20 y 150 ingenieros. Copilot, Cursor o un asistente interno ya son parte del flujo de trabajo. El dashboard de SAST es ruidoso. Una pentest reciente encontró problemas que quedaron en PRs que nadie marcó. Necesitás un pipeline posta y lo necesitás este trimestre, no el año que viene.
Head of Security en una industria regulada
Healthtech, fintech, seguros, edtech con PII. Ya corren un SIEM, un SAST y un SCA. Los auditores ahora preguntan cómo gobiernan el código generado por IA. Necesitás controles específicos de IA, documentación y enforcement para pasar la próxima auditoría SOC 2 o HIPAA.
Lead de Platform Engineering
Sos dueño del golden path. Los devs quieren asistentes de IA, el negocio quiere velocidad y seguridad quiere guardrails. Estás buscando un partner que pueda diseñar policy-as-code, poner reglas de bloqueo sin romper la experiencia del dev y dejarte el sistema andando.
Cómo se estructura un proyecto
Los proyectos de pipeline completo corren 10 a 14 semanas en cuatro fases. Los proyectos acotados (un solo repositorio, un solo equipo, una herramienta puntual) quedan operativos en 4 a 6 semanas.
Fase 1. Auditoría de seguridad (semanas 1–2)
Leemos el código con foco específico en los segmentos generados por IA: qué asistentes se usan, qué porcentaje de PRs mergeados vienen de sugerencias, dónde se concentran las vulnerabilidades. El entregable es un inventario priorizado, un mapa de riesgo y un plan práctico de remediación. Nada "solo de slides".
Fase 2. Diseño del pipeline (semanas 3–4)
Diseñamos el pipeline con tu equipo, no en lugar de tu equipo. Scanners, thresholds, bloqueo vs advertencia, dónde van las puertas en CI/CD, qué frameworks de compliance te aplican. Entregamos un documento con los tradeoffs explicitados y se firma antes de construir.
Fase 3. Integración de herramientas (semanas 5–10)
Fase de build. Desplegamos scanners, configuramos los packs de reglas SAST, armamos la detección de secretos, conectamos todo con GitHub Actions, GitLab CI, Jenkins, Azure DevOps o CircleCI, y calibramos severidades. Las reglas se ajustan por lenguaje y por asistente. Medimos la tasa de falsos positivos cada semana hasta que la señal queda limpia.
Fase 4. Transferencia y formación (semanas 10–14)
Runbooks, documentación para desarrolladores, workshops de seguridad y entrenamiento operativo para que tu equipo corra el pipeline sin nosotros. No diseñamos lock-in. Si querés soporte continuo después, es una conversación aparte cuando el pipeline ya está estable.
El pipeline conecta con tu infraestructura de AI DevOps, y para equipos que además construyen productos de IA, nuestra práctica de desarrollo de agentes de IA suma capacidad de ingeniería complementaria.
Tres formas de trabajar con nuestro equipo de seguridad argentino.
Modelos de contratación y precios
Scopeamos cada proyecto después de una llamada, pero estos son los rangos que más vemos. Valores indicativos nearshore desde Argentina, 2026.
Proyecto
cerrado
Construcción de scope fijo del pipeline completo, desde la auditoría hasta la transferencia. Duración típica: 10 a 14 semanas. La inversión suele ubicarse entre USD 60.000 y USD 200.000 según cantidad de repositorios, alcance de compliance e integraciones.
Equipo
dedicado
Squad nearshore de seguridad embebido en tu organización: AppSec, un reviewer con criterio de IA/ML, DevSecOps y un tech lead. Arranca alrededor de USD 18.000 por mes para un pod chico y escala desde ahí. Mes a mes, sin compromiso plurianual.
Staff
Augmentation
Ingenieros individuales de AppSec o DevSecOps embebidos en tu squad. La mejor opción cuando ya definiste la estrategia y necesitás manos expertas. Tarifa mensual por ingeniero, facturación transparente, sin fee de placement.
Cómo se compara con otras opciones
Contra contratar in-house en EE.UU. Un AppSec senior más un reviewer con criterio de IA/ML más un DevSecOps, con costo total cargado, supera los USD 600.000 al año en las grandes metrópolis. Un pod nearshore argentino cubriendo la misma superficie suele ubicarse entre el 40 y el 50 por ciento de ese costo, sin tiempo de reclutamiento. El tradeoff es que el equipo no está físicamente al lado tuyo; en 2026 eso pesa mucho menos que en 2019.
Contra freelancers. Los freelancers son excelentes para un entregable puntual (por ejemplo, escribir un pack de reglas Semgrep). Casi nunca funcionan bien cuando hay que sostener el ciclo de vida completo de un pipeline de producción. La titularidad, la continuidad y la guardia suelen romperse.
Contra una consultora grande. Las big four pueden cubrir la demanda, pero sus seniors rotan y sus juniors se quedan. Nuestro modelo es el inverso. Los ingenieros que ves en el kickoff son los que escriben las reglas y responden en Slack. Es deliberado.
Contra no hacer nada. Esta es la comparación honesta. Si tu equipo usa asistentes de IA y el escaneo fue calibrado hace tres años, la brecha crece cada sprint. El NIST Cybersecurity Framework y la NIST SP 800-218A sobre desarrollo seguro son buenas lecturas antes de decidir que tu setup actual "ya alcanza".
Mini caso: plataforma healthtech, pipeline en 12 semanas
La situación
Una plataforma healthtech con base en EE.UU., de unos 50 ingenieros, nos contactó después de que una pentest externa sacara a la luz problemas que no esperaban. El área de ingeniería había incorporado Copilot y Cursor unos seis meses antes. La productividad había mejorado en serio y nadie quería volver atrás.
La pentest encontró credenciales de base de datos hardcodeadas en tres repositorios, transmisión de datos de pacientes sin encriptar en dos endpoints de API internos e inyección SQL en handlers de consultas de pacientes. La mayor parte había entrado a través de código generado por IA que compilaba, pasaba los tests existentes y "se leía limpio" en la revisión, pero violaba salvaguardas HIPAA de una forma que no se veía sin un análisis consciente de IA.
El auditor de compliance marcó la plataforma por salvaguardas técnicas insuficientes. Sacar los asistentes de IA no era una opción política. La alternativa era construir el pipeline correcto. Ahí entramos.
Lo que construimos
En 12 semanas corrimos un equipo nearshore de seis personas: dos ingenieros de AppSec, dos reviewers con criterio de IA/ML, un DevSecOps y una arquitecta de seguridad al frente del proyecto. Standups diarios en hora de Miami y Nueva York; code reviews en tiempo real por Slack y GitHub.
Decisiones clave:
- Escaneo a nivel IDE que marcaba exposición de PHI y hardcoding de credenciales en el momento exacto en que el dev aceptaba una sugerencia de IA. Esa sola capa interceptó la mayoría de las nuevas vulnerabilidades antes de llegar al commit.
- Reglas Semgrep a medida calibradas a los patrones que Copilot introducía en servicios Python y TypeScript, reemplazando una configuración de SonarQube ruidosa que generaba cientos de hallazgos ignorados por semana.
- Checks específicos de HIPAA en cada pull request, bloqueando los merges no conformes con una remediación puntual, no con una advertencia genérica.
- Escaneo histórico de secretos y un playbook de rotación de credenciales, cubriendo todo lo que ya había en los repositorios.
Tras la transferencia, el uso de IA por parte de los desarrolladores siguió al mismo ritmo. Lo que cambió es que el código vulnerable dejó de llegar a producción. La siguiente auditoría HIPAA cerró sin hallazgos. Hay más ejemplos en nuestros casos de éxito.
Riesgos y cómo los mitigamos
Preferimos ser claros. Todo proyecto de seguridad tiene riesgos reales; fingir que no, es una señal de alarma.
Riesgo: el pipeline frena a los desarrolladores
Es el modo de falla más común. Escaneos pesados en la etapa equivocada hacen que los devs deshabiliten los hooks o hagan bypass de la política. Lo mitigamos moviendo la mayor parte de los checks a la izquierda (al IDE y al pre-commit), corriendo escaneos pesados en paralelo con CI y calibrando severidades para que las reglas bloqueantes disparen solo sobre problemas que importan. Medimos el cycle time de los PRs antes y después del despliegue.
Riesgo: inundación de falsos positivos
Un scanner ruidoso se ignora. Tratamos la tasa de falsos positivos como KPI primario. Cada regla nueva se evalúa sobre commits históricos antes de pasar a modo bloqueante, y las que superan un umbral se reescriben o se degradan. Ningún dashboard llega a producción con ruido evidente.
Riesgo: dependencia del proveedor
Si nos vamos y el pipeline deja de funcionar, fallamos. Cada pack de reglas, archivo de configuración, runbook y log de decisión queda versionado en tus repositorios. Entrenamos a tu equipo durante el proyecto, no como tarea final. La transferencia es un entregable, no una cortesía.
Riesgo: compliance de fachada
Checks que existen pero se saltean siempre son peores que no tener checks. Modelamos los caminos de enforcement, auditamos los patrones de override cada mes durante el primer trimestre y elevamos los merges riesgosos al lead de seguridad. Si una regla se está pisando siempre, o la regla está mal, o el proceso está mal, y arreglamos la causa real.
Cuándo tiene sentido tercerizar esto — y cuándo no
No toda empresa debería tercerizar esto. El corte honesto es el siguiente.
Tercerizar encaja cuando
- No tenés ingenieros de AppSec con exposición real a IA/ML en plantilla.
- Necesitás el escaneo corriendo en semanas, no en dos ciclos de reclutamiento.
- Estás en una industria regulada y se acerca una auditoría o una fecha de compliance.
- Tu SAST actual genera ruido inmanejable sobre código generado por IA.
- Querés construir la capacidad una vez, hecha bien, y recibirla de vuelta funcionando.
Hacerlo in-house encaja cuando
- Ya tenés un equipo de AppSec maduro que solo necesita formación específica en IA.
- Tu área de ingeniería es chica (por ejemplo, menos de 15 personas) y la revisión manual todavía escala.
- Tenés 6 a 12 meses de margen para reclutar y formar perfiles especializados.
- No hay deadlines de compliance en los próximos 12 meses y pueden aprender sobre la marcha.
Por qué Siblings Software
Versión corta: hacemos outsourcing nearshore desde Argentina hace más de una década y nos especializamos en problemas de ingeniería que viven en el borde entre IA y sistemas productivos.
Una década de entrega nearshore
Fundada en 2014 en Córdoba, Argentina. Clientes en EE.UU., Canadá y Europa en healthtech, fintech, retail, logística y medios. Ingenieros seniors que hablan inglés, no juniors "traducidos".
Seguridad e IA, no solo una de las dos
Nuestro equipo combina practicantes de AppSec con ingenieros de IA/ML que leen papers y ponen modelos en producción. Esa mezcla es la que hace que el SAST específico para IA realmente funcione. Un vendor de seguridad genérico no la tiene. Una consultora de IA genérica tampoco.
Alineamiento real de huso horario
Argentina es UTC-3 todo el año. Es el mismo huso que EST en invierno boreal y una hora adelante en verano boreal. Tenés revisiones de PR el mismo día, respuesta a incidentes en vivo y standups de verdad, no intercambios asincrónicos a ciegas.
Si estás evaluando partners nearshore en general, el sitio hermano siblingssoftware.com cubre este mismo servicio desde nuestra presencia en EE.UU.
Tres errores que cometen los compradores — y qué les decimos en cambio.
Lo que los clientes suelen equivocar
Comprar una herramienta en lugar de un sistema
Las licencias no encuentran vulnerabilidades. Las reglas sí, y las reglas necesitan mantenimiento. Una licencia de SAST sin estrategia de reglas es un dashboard que para el tercer mes se ignora. Nosotros entregamos reglas y políticas como código, no un logo.
Optimizar para "cero hallazgos"
Cero hallazgos normalmente significa que el scanner está roto, no que el código está limpio. Optimizamos por tasa de verdaderos positivos y tiempo de remediación, no por dashboards verdes de adorno.
Tratar a la IA como una librería más
Los asistentes de IA no son una dependencia; cambian cómo se escribe el código. La seguridad tiene que cambiar en consecuencia. Los equipos que aplican su playbook de 2020 a un flujo de 2026 fallan silenciosamente hasta que lo nota un auditor.
Preguntas Frecuentes
Todos los principales: Python, JavaScript, TypeScript, Java, Go, Rust, C#, Ruby, PHP y Swift, además de infraestructura como código como Terraform, CloudFormation y manifiestos de Kubernetes. Las reglas se calibran por lenguaje porque los asistentes de IA introducen patrones distintos en cada uno.
Generalmente no. Si ya usan SonarQube, Snyk, GitHub Advanced Security o similares, agregamos packs de reglas a medida ajustados al código generado por IA por encima de lo que ya tienen. El objetivo es cerrar la brecha específica de IA, no reemplazar la inversión existente.
Un pipeline completo suele ubicarse entre USD 60.000 y USD 200.000 según cantidad de repositorios, alcance de compliance y tamaño del equipo. Los pods nearshore dedicados arrancan cerca de USD 18.000 por mes. Staff augmentation se cotiza según seniority. Scopeamos después de una llamada para que el número refleje tu situación real.
El escaneo pre-commit básico puede estar activo en las primeras dos semanas. Un pipeline empresarial completo con SAST, SCA, detección de secretos y automatización de compliance toma entre 10 y 14 semanas. Los proyectos con un solo equipo y un solo repo se terminan en 4 a 6 semanas.
Sí. Nuestros ingenieros trabajan desde Córdoba, Argentina (UTC-3). Es el mismo huso que la Costa Este de EE.UU. la mayor parte del año y una hora adelante en verano boreal. Code review en tiempo real, standups de verdad, sin ciclos de 12 horas.
Sí. Firmamos NDA antes de tocar código, operamos con controles de identidad y acceso gestionados por el cliente y cumplimos las políticas de seguridad que imponen a sus proveedores. Para entornos HIPAA, SOC 2 y PCI-DSS trabajamos dentro de los controles que exigen los auditores del cliente.
Servicios relacionados