В новом аналитическом документе GenAI Code Security Report 2026, подготовленном Veracode, акцентируется внимание на несоответствии между возможностями искусственного интеллекта в создании функционального кода и уровнем его надёжности.

Анализ четырёх тестовых окружений выявил, что более ста моделей демонстрируют лишь около 56% успешных результатов по критериям безопасности – этот показатель практически не изменился по сравнению с предыдущим годом. Вместе с тем, синтаксический анализ кода этих моделей проходит почти без ошибок, что указывает на возможность корректного выполнения программного обеспечения при наличии скрытых в нём потенциальных рисков.

Эксперты Veracode провели тестирование исходных версий ИИ-моделей, используя унифицированные задания по созданию кодовых конструкций на различных языках программирования и для выявления разнообразных типов уязвимостей. При этом запросы не содержали инструкций, касающихся безопасности данных. В результате таких проверок примерно в 44% случаев сгенерированный код оказался небезопасным. Важно отметить, что полученные данные нельзя напрямую экстраполировать на реальные проекты: тесты отражают лишь конкретные сценарии и условия тестирования, не учитывая дополнительные меры предосторожности, такие как статический анализ кода, установленные правила безопасности и ручная проверка результатов.

Не было выявлено существенного преимущества у специализированных моделей машинного обучения, предназначенных для программирования; их средний показатель составил 51%, что лишь незначительно отличается от результата универсальных аналогов (52%). Размер модели также не оказал значительного влияния на безопасность: крупные модели показали результат в среднем 53%, а средние и малые – около 51%. Более эффективными оказались модели, использующие режим рассуждений – их результативность составила 56% против 51% у остальных. В рейтинге Veracode GPT-5.5 получила оценку 68%, в то время как шесть из одиннадцати протестированных моделей набрали от 50% до 53%.

Заметные расхождения наблюдались в оценках по различным языкам программирования. Наивысший средний балл получил Python — 63%, тогда как Java занял заключительное место с показателем 30%, хотя и продемонстрировал позитивную динамику. В документе подчеркивается, что безупречность синтаксиса не гарантирует защиту: созданный код может успешно транслироваться и решать поставленную задачу, при этом используя небезопасный подход к реализации.

Компания Veracode советует рассматривать программный код, сгенерированный искусственным интеллектом, как непроверенный материал и подвергать его тщательному анализу на предмет безопасности перед интеграцией в основную кодовую структуру. Ключевой вывод из проведенных испытаний заключается в том, что быстрота создания функционирующего кода не отменяет необходимости контроля, позволяющего выявлять недостатки, которые игнорируются стандартными функциональными тестами.