Open source en producción: licencias, IA y el 25% de PRs que nadie revisa

El dato que ordena la discusión

La Linux Foundation publicó un relevamiento sobre el impacto de la IA generativa en el software libre con dos números que conviene tener a mano: los equipos reportan que el tiempo de codificación se redujo a la mitad, pero un 25% de los pull requests entrantes se considera de baja calidad, ese fenómeno que ya se conoce como AI slop. En proyectos grandes, la proporción trepa al 31%, y el 59% de los mantenedores dice que el volumen de contribuciones creció.

Traducido a una empresa que usa open source en producción: el software libre sigue siendo la mejor base técnica disponible, y al mismo tiempo el costo de revisar lo que entra se duplicó.

Tres riesgos que aparecen cuando el repositorio crece

Licencias: el riesgo que aparece en la auditoría

Una dependencia con licencia copyleft fuerte dentro de un SaaS propietario puede obligarte a abrir código que no querías abrir. El problema no es teórico: casi nadie revisa el árbol completo hasta que un cliente grande pide un informe o una operación de venta lo exige.

Contribuciones generadas sin contexto

Un pull request generado por IA suele resolver el síntoma y no la causa, ignora convenciones del proyecto y no trae pruebas. Aceptarlo es agregar deuda técnica con la firma de otro.

Dependencias sin dueño

Paquetes mantenidos por una sola persona, sin releases en dos años y con permisos de publicación amplios. Es el vector de ataque preferido de la cadena de suministro.

El kit mínimo de auditoría

No hace falta comprar una plataforma para empezar. Con herramientas abiertas se cubre el 80% del riesgo real.

• Inventario de licencias: ScanCode Toolkit y SPDX identifican licencias por archivo y generan un inventario legible por máquina.
• Política automatizada: FOSSA o un chequeo propio en CI que falle el build cuando aparece una licencia fuera de la lista permitida.
• Dependencias y avisos: Dependabot o Renovate para actualizar, y un tablero de vulnerabilidades revisado cada semana.
• Calidad de contribuciones: plantilla de pull request con caso reproducido, prueba y alcance declarado; revisión humana obligatoria aunque el autor sea un agente.
• Observabilidad de producción: Wazuh y Graylog siguen siendo la dupla abierta más razonable para logs y detección.

Si tu equipo todavía no tiene monitoreo, el punto de partida está en herramientas de monitoreo web gratis; la auditoría de licencias se apoya en la misma disciplina.

Reglas de contribución que sí funcionan

Primero, una política escrita de uso de IA en el repositorio: qué se puede generar, qué se debe declarar y quién revisa. Segundo, límite de tamaño por pull request: los cambios chicos se revisan, los enormes se aprueban por cansancio. Tercero, un responsable por dependencia crítica, con nombre y teléfono. Cuarto, revisión trimestral del inventario y no anual.

El caso de la IA en el kernel

Linus Torvalds aceptó código asistido por IA en Linux, mientras varios proyectos abiertos mantienen la prohibición. No hay respuesta única: hay política explícita. Lo que no funciona es el silencio, porque el silencio se resuelve en el peor momento, cuando ya hay que explicar de dónde salió ese fragmento.

Un plan de dos tardes

Tarde uno: correr el inventario de licencias y ordenar por dependencia más usada. Tarde dos: escribir la política de contribución con IA y activar el chequeo en integración continua. Con eso ya podés responder la pregunta que hoy frena operaciones: qué software libre corre en tu producto y bajo qué condiciones.

Usar software libre sin sorpresas

El open source no es el problema ni la IA tampoco. El problema es adoptar ambos sin gobierno, con la esperanza de que el equipo se acuerde de revisar. La alternativa es aburrida y rentable: inventario, política, automatización y alguien responsable.

En nuestra unidad de soporte continuo, hosting administrado y SEO técnico auditamos el stack, ordenamos licencias y dejamos la revisión de dependencias dentro del ciclo de mantenimiento. Si querés empezar por un diagnóstico, escribinos por contacto.