¿Por qué el despliegue de código escrito por IA no deja registro de qué modelo lo escribió?

Los asistentes de IA ahora crean una fracción significativa y creciente del código de producción, pero ningún formato de artefacto registra qué modelo, versión o prompt produjo una función determinada. Cuando una vulnerabilidad se rastrea hasta un patrón que una generación específica de modelos introduce de manera sistemática, no hay forma de consultar una base de código o un registro de paquetes para encontrar cada función que comparte el mismo origen. Los Software Bills of Materials estandarizados por SPDX y CycloneDX capturan las dependencias de bibliotecas, no la procedencia de autoría del código fuente. La encuesta de cadena de suministro de Cloudsmith de 2026 encontró que el 29 por ciento de los encuestados identifica el riesgo de paquetes generados por IA como su principal preocupación de seguridad en código abierto, y tres cuartas partes de las organizaciones tratan los SBOMs como artefactos de cumplimiento estáticos en lugar de instrumentos de gobernanza activos. La EU AI Act y la Orden Ejecutiva de EE. UU. sobre IA hacen referencia a la integridad de la cadena de suministro de software, pero ninguna especifica w