Безпека AI-коду сягнула 62%: дослідження Veracode 2026

AI вже генерує близько половини коду, але майже чотири з десяти згенерованих фрагментів досі містять уразливості. CISO та керівникам розробки потрібні конкретні дані про те, які моделі створюють безпечний код. Softprom є офіційним дистриб'ютором Veracode.

Нове дослідження Veracode GenAI Code Security Report за жовтень 2026 року фіксує перший суттєвий прогрес у безпеці AI-коду від початку серії у липні 2025: загальний pass rate зріс із 56% до 62%, а частка уразливостей знизилася з 44% до 38%.

Що було анонсовано

29 жовтня 2026 року Veracode опублікувала жовтневу редакцію GenAI Code Security Report. Було протестовано 18 великих мовних моделей на чотирьох мовах програмування (Python, C#, JavaScript, Java) та за чотирма категоріями CWE (CWE-89 SQL-ін'єкція, CWE-327 криптографія, CWE-80 XSS, CWE-117 ін'єкція в лог).

Claude Opus 5.5 від Anthropic та GPT-6-Sol від OpenAI поділили перше місце з рекордним pass rate 73%, перевершивши попередній максимум 68% у GPT-5.5. Уже 10 моделей долають поріг у 60% проти чотирьох у попередньому звіті.

Це перший раз за весь час нашого дослідження, коли ми можемо повідомити про помітний зсув у показниках безпеки. Десять моделей тепер перевищують 60 відсотків проти чотирьох у минулому звіті, а середній показник зріс на шість відсоткових пунктів

Чому це важливо

Для CIO, CISO та керівників закупівель ці дані змінюють підхід до стратегії AI-асистентів розробки. Прогрес реальний, але нерівномірний: основним драйвером стала категорія XSS (CWE-80), тоді як ін'єкція в лог (CWE-117) залишилася на рівні 13%, бо вимагає аналізу потоку даних, з яким LLM досі не справляються.

Топові моделі коштують дорожче в експлуатації. Великі моделі дають у середньому 55% проти 51% у малих, що скасовує торішній висновок про відсутність впливу розміру. Згідно зі звітом Veracode State of Software Security 2026, 82% організацій несуть security debt, а 66% найнебезпечніших довгоживучих уразливостей припадає на сторонній код і виправляються в середньому 358 днів.

Технічні деталі

• Загальний pass rate: 62% (було 56%)
• Частка уразливостей: 38% (було 44%)
• Лідери: Claude Opus 5.5 та GPT-6-Sol з результатом 73%
• Протестовано моделей: 18 LLM на чотирьох мовах
• Найслабша мова: Java — 31%, тоді як Python 64%, C# 60%, JavaScript 57%
• Результати CWE: криптографія 87%, SQL-ін'єкція 84%, XSS 18%, ін'єкція в лог 13%
• General vs coding моделі: 54% проти 51%

Часті запитання

Наскільки безпечний AI-згенерований код у 2026 році?

Середній pass rate із 18 протестованих LLM становить 62%, тобто близько 38% AI-коду досі містить уразливості без додаткової перевірки безпеки.

Яка LLM створює найбезпечніший код?

Claude Opus 5.5 від Anthropic та GPT-6-Sol від OpenAI поділили перше місце з результатом 73% у бенчмарку Veracode за жовтень 2026, обійшовши попереднього лідера GPT-5.5 з 68%.

Чи достатньо використовувати найдорожчу модель?

Ні. Навіть провідні моделі провалюють понад одне з чотирьох завдань із безпеки. Veracode рекомендує поєднувати модель середнього рівня з постійним скануванням безпеки та remediation.

Softprom та Veracode

Softprom є офіційним дистриб'ютором Veracode. Наша команда допомагає підприємствам впроваджувати Veracode Static Analysis, Dynamic Analysis, Software Composition Analysis, Veracode Fix та Application Security Posture Management для захисту коду від створення до розгортання у хмарі.

Підготовлено редакцією Softprom за матеріалами вендора (Softprom DistriFlow). Джерело: оригінальна стаття.