Безопасность AI-кода достигла 62%: исследование Veracode 2026

AI уже генерирует около половины кода, но почти четыре из десяти сгенерированных фрагментов содержат уязвимости. CISO и руководителям разработки нужны конкретные данные о том, какие модели создают безопасный код. Softprom является официальным дистрибьютором Veracode.

Новое исследование Veracode GenAI Code Security Report за октябрь 2026 года фиксирует первый значимый прогресс в безопасности AI-кода с момента запуска серии в июле 2025: общий pass rate вырос с 56% до 62%, а доля уязвимостей снизилась с 44% до 38%.

Что было анонсировано

29 октября 2026 года Veracode опубликовала октябрьскую редакцию GenAI Code Security Report. Протестировано 18 больших языковых моделей на четырёх языках программирования (Python, C#, JavaScript, Java) и по четырём категориям CWE (CWE-89 SQL-инъекция, CWE-327 криптография, CWE-80 XSS, CWE-117 инъекция в лог).

Claude Opus 5.5 от Anthropic и GPT-6-Sol от OpenAI разделили первое место с рекордным pass rate 73%, обойдя предыдущий максимум 68% у GPT-5.5. Уже 10 моделей преодолевают планку 60% против четырёх в прошлом отчёте.

Это первый раз за всё время нашего исследования, когда мы можем сообщить о заметном сдвиге в показателях безопасности. Десять моделей теперь превышают 60 процентов против четырёх в прошлом отчёте, а средний показатель вырос на шесть процентных пунктов

Почему это важно

Для CIO, CISO и руководителей закупок эти данные меняют подход к стратегии AI-ассистентов разработки. Прогресс реальный, но неравномерный: основным драйвером стала категория XSS (CWE-80), тогда как инъекция в лог (CWE-117) осталась на уровне 13%, так как требует анализа потока данных, с которым LLM по-прежнему не справляются.

Топовые модели дороже в эксплуатации. Крупные модели дают в среднем 55% против 51% у малых, что отменяет прошлогодний вывод об отсутствии влияния размера. Согласно отчёту Veracode State of Software Security 2026, 82% организаций несут security debt, а 66% наиболее опасных долгоживущих уязвимостей приходится на сторонний код и устраняются в среднем 358 дней.

Технические детали

• Общий pass rate: 62% (было 56%)
• Доля уязвимостей: 38% (было 44%)
• Лидеры: Claude Opus 5.5 и GPT-6-Sol с результатом 73%
• Протестировано моделей: 18 LLM на четырёх языках
• Самый слабый язык: Java — 31%, тогда как Python 64%, C# 60%, JavaScript 57%
• Результаты CWE: криптография 87%, SQL-инъекция 84%, XSS 18%, инъекция в лог 13%
• General vs coding модели: 54% против 51%

Часто задаваемые вопросы

Насколько безопасен AI-сгенерированный код в 2026 году?

Средний pass rate по 18 протестированным LLM составляет 62%, то есть около 38% AI-кода по-прежнему содержит уязвимости без дополнительной проверки безопасности.

Какая LLM создаёт самый безопасный код?

Claude Opus 5.5 от Anthropic и GPT-6-Sol от OpenAI разделили первое место с результатом 73% в бенчмарке Veracode за октябрь 2026, обойдя предыдущего лидера GPT-5.5 с 68%.

Достаточно ли использовать самую дорогую модель?

Нет. Даже ведущие модели проваливают более одной из четырёх задач по безопасности. Veracode рекомендует сочетать модель среднего уровня с постоянным сканированием безопасности и remediation.

Softprom и Veracode

Softprom является официальным дистрибьютором Veracode. Наша команда помогает предприятиям внедрять Veracode Static Analysis, Dynamic Analysis, Software Composition Analysis, Veracode Fix и Application Security Posture Management для защиты кода от создания до развёртывания в облаке.

Подготовлено редакцией Softprom по материалам вендора (Softprom DistriFlow). Источник: оригинальная статья.