Veracode: ИИ проходит лишь 56% проверок безопасности при генерации кода

ИИ-модели почти всегда пишут компилируемый код, но примерно в 44% случаев добавляют уязвимости из списка OWASP Top 10. К такому выводу пришла Veracode в отчёте 2026 GenAI Code Security Report: компания протестировала более 100 моделей в четырёх срезах. Как пишет The Next Web (TNW), средний уровень прохождения проверок безопасности составил 56% против 55% годом ранее, хотя доля кода, созданного ИИ, резко выросла.

Сооснователь Veracode Крис Вайсопал отметил, что современные модели почти не ошибаются в синтаксисе, однако всё ещё проваливают почти половину задач, связанных с безопасностью. При этом исследование проводилось на «сырых» моделях, без дополнительных агентов, guardrails и ручной проверки. Поэтому результаты показывают именно частоту генерации уязвимостей, а не то, как часто такой код попадает в production.

Отчёт также показал, что специализированные модели для программирования не оказались безопаснее универсальных. Их средний результат составил 51% против 52% у general-purpose моделей. Более крупные модели тоже не дали заметного преимущества. Единственным фактором, который действительно улучшал показатели, стали reasoning-модели: в среднем они набрали 56% против 51% у остальных. Лучший результат показала OpenAI GPT-5.5, она набрала 68%, но даже эта модель проваливала почти каждую третью задачу на безопасность.

Исследование выявило заметную разницу между языками и типами уязвимостей. Python проходил проверки в 63% случаев, тогда как Java только в 30%. SQL injection и слабую криптографию модели обрабатывали существенно лучше, чем cross-site scripting и log injection. В последних двух категориях показатели опускались до 15% и 12% соответственно.