Sonatype publica, escrita por su technical writer Aaron Linskens, una síntesis de un estudio longitudinal de sus laboratorios de investigación que abarca cuarenta y nueve meses, de junio de 2022 a junio de 2026. El método se expone de entrada: una cohorte fija de aplicaciones seguida de forma continua, de modo que las variaciones medidas reflejen la evolución de la flota de software más que la de la cartera de clientes. El resultado central se presenta como una contradicción: las organizaciones remedian más rápido que antes, pero sus aplicaciones acumulan más riesgo.
Cuatro medidas enmarcan el hallazgo. Las vulnerabilidades Critical y High por aplicación se multiplicaron por 4,31, pasando de un promedio de 14,14 en junio de 2022 a 54,3 en 2026; el efecto no se debe únicamente al legado, ya que excluyendo las aplicaciones legadas recién incorporadas a la gestión el factor sigue siendo de 3,91. Las versiones de componentes recién afectadas avanzan a cuarenta y seis veces la tasa previa a la IA. La edad mediana de las vulnerabilidades ha caído un 59% desde su pico de enero de 2024. Por último, la creación mensual promedio de aplicaciones se multiplicó por 4,84, y con ella las decisiones de dependencias.
El progreso en la remediación es real: más de la mitad de las violaciones resueltas se resuelven en menos de un día, y la edad mediana de las vulnerabilidades Critical/High sin resolver baja de 228 a 126 días, luego a 103 días en mayo de 2026. Entre las cohortes que dispusieron de al menos doce meses para actuar, el 52,6% están resueltas, el 44,3% permanecen abiertas y el 3,1% están bajo dispensa.
El giro propuesto concierne a la fase previa. Los investigadores examinaron las dependencias vulnerables que entraron en las aplicaciones del periodo y se plantearon una pregunta simple: en el momento de la selección, ¿existía ya una versión sustancialmente menos arriesgada? La respuesta es sí en el 62,2% de los casos en Maven, el 46,9% en npm y el 34,3% en PyPI. El texto se niega a interpretar esto como una falta del desarrollador: algunas vulnerabilidades son inevitables, otras provienen de una brecha de información en el momento de la elección — un punto que se vuelve sensible cuando un asistente de IA puede introducir un componente en segundos sin disponer de inteligencia actualizada sobre su riesgo y sobre la política organizacional.
La entrada reconoce que la IA no es la única causa de la expansión del panorama de vulnerabilidades y cita cuatro factores concurrentes. Concluye con Sonatype Guide, que lleva esta inteligencia hasta el momento de la selección, y remite al informe completo, The AI-Era Software Assembly Line, para los datos subyacentes.