Securing Software at the Speed of AI: What Four Years of Data Reveal
Entrada de blog de **Sonatype** por **Aaron Linskens** (*technical writer*), publicada el **18 de agosto de 2026**, ~1.300 palabras: relata un estudio de **Sonatype Research Labs** que abarca **49 meses** (junio de 2022 — junio de 2026) y una **cohorte fija** de aplicaciones empresariales, una elección metodológica presentada como una forma de aislar la evolución de la flota de aplicaciones más que la de la cartera de clientes. El resultado se presenta como una contradicción: la remediación es más rápida, pero el riesgo se acumula aún más. (A) **El stock aumenta** — vulnerabilidades *Critical* y *High* por aplicación **×4,31** (de **14,14** en junio de 2022 a **54,3** en 2026, aún **×3,91** excluyendo las aplicaciones legadas recién incorporadas a la gestión), versiones de componentes recién afectadas al **46×** de la tasa previa a la IA, creación mensual de aplicaciones **×4,84**. (B) **La remediación mejora** — más de la mitad de las violaciones resueltas se resuelven en menos de un día, la edad mediana de las vulnerabilidades *Critical/High* sin resolver baja de **228** a **126 días**, luego a **103** en mayo de 2026; entre las cohortes que dispusieron de doce meses, **52,6%** están resueltas, **44,3%** abiertas, **3,1%** bajo dispensa. (C) **La palanca propuesta es la selección de componentes**: en el momento en que se eligió una dependencia vulnerable, ya existía una versión sustancialmente menos arriesgada en **62,2%** de los casos en **Maven**, **46,9%** en **npm**, **34,3%** en **PyPI** — una brecha que el texto atribuye a un problema de información más que a una falta del desarrollador. La propia entrada afirma que la IA no es la única causa de la aceleración, y concluye con **Sonatype Guide**, que lleva esta inteligencia hasta el momento de la selección. En el plano de la cadena de suministro, prolonga lo que [[fiches/2026-08/staples-gitlab-when-code-is-abundant-2026-08-24]] plantea en términos económicos y [[fiches/2026-07/clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] en términos de ciclo seguro.
Aaron Linskens · *technical writer* chez Sonatype · sur le blog de l'éditeur ; les chiffres sont produits par Sonatype Research Labs · non par l'auteur.