Agentes de IA para codificación filtran 13.000 imágenes internas en GitHub

30 de septiembre de 2026 · Por Erick Marin

Qué pasó

La empresa de seguridad Glow identificó más de 13.000 imágenes internas expuestas públicamente en GitHub, provenientes de agentes de codificación con inteligencia artificial que fueron instruidos para compartir capturas de pantalla de cambios de código para su revisión.

Las imágenes pertenecen a desarrolladores de más de 300 organizaciones distintas y en muchos casos incluyen información sensible: registros de facturación de clientes y capturas de funciones o productos que aún no habían sido lanzados públicamente.

Un factor agravante es que la mayoría de estas imágenes se encontraban alojadas bajo cuentas personales de los propios desarrolladores, fuera del control de los equipos de seguridad corporativos, lo que dificulta su detección y remediación oportuna.

Qué significa para empresas en LatAm

Muchas empresas de la región están adoptando rápidamente agentes de IA para acelerar el desarrollo de software, muchas veces sin políticas claras sobre qué datos pueden compartir estas herramientas ni supervisión sobre repositorios personales de sus desarrolladores. Este caso demuestra que la automatización con IA puede introducir fugas de datos sensibles (financieros, de clientes o de producto) por rutas no contempladas en los controles tradicionales de seguridad.

Para sectores como fintech, banca y retail, donde el manejo de datos de facturación y clientes es crítico, este tipo de exposición podría derivar en incumplimientos regulatorios (protección de datos personales) y daño reputacional si la información llega a actores maliciosos.

Qué hacer ahora

1. Auditar el uso de agentes de codificación con IA en la organización y revisar qué datos o capturas pueden generar y compartir.
2. Establecer políticas que prohíban la publicación de capturas de pantalla con datos sensibles en repositorios públicos o cuentas personales de GitHub.
3. Implementar escaneo automatizado de repositorios (propios y de terceros) en busca de exposición accidental de datos corporativos.
4. Exigir que todo desarrollo relacionado con la empresa se realice bajo cuentas corporativas gestionadas, no personales, con controles de acceso y monitoreo.
5. Capacitar a los equipos de desarrollo sobre los riesgos de compartir capturas de pantalla o logs con herramientas de IA de terceros.