Исследование Veracode показало: почти половина кода от ИИ уязвима

Согласно новому исследованию компании Veracode, почти 45% кода, сгенерированного ИИ, содержит уязвимости, несмотря на то, что выглядит «готовым к продакшену».

В отчёте изучались более 100 больших языковых моделей на 80 разных задачах программирования. Ни размер, ни «свежесть» моделей не показали улучшений в безопасности. «Наше исследование показывает: модели становятся лучше в синтаксисе, но не в безопасности», — отметил технический директор Veracode Йенс Вёсслинг.

Наибольший уровень сбоев выявлен в Java — более 70% случаев, однако и Python, C# и JavaScript показали высокие значения: от 38% до 45%.

Иллюстрация: Sora

Особенно часто ИИ не справляется с защитой от XSS-атак (86%) и log-инъекций (88%). При этом, согласно данным Veracode, всё больше разработчиков используют ИИ не только как помощника, но и как генератор кода.

Йенс Вёсслинг связывает проблему с новой практикой «вайб-кодинга». Это, по его словам, коренным образом меняет логику современной разработки.

Эксперты Veracode призывают внедрять автоматические проверки безопасности, использовать ИИ-инструменты для устранения уязвимостей, а также — обучать разработчиков созданию кода при помощи ИИ с учётом рисков. «Ассистенты и автономные пайплайны — это будущее, но безопасность не может быть запоздалой мыслью. Иначе накопление уязвимостей станет необратимым», — предупреждают в Veracode.