Компанія Veracode оприлюднила звіт GenAI Code Security Report 2026, у якому проаналізовано безпеку коду, згенерованого штучним інтелектом. За результатами тестування понад 100 моделей, середній показник успішності за критеріями безпеки склав лише 56%, що майже не відрізняється від минулорічних результатів.

Як зазначають у Veracode, моделі штучного інтелекту майже завжди створюють синтаксично коректний код, який виконує поставлені завдання. Однак це не гарантує його безпечності: у багатьох випадках у такому коді залишаються вразливості. Тестування проводилося на стандартизованих завданнях із різних мов програмування та категорій вразливостей, без додаткових інструкцій щодо безпеки.

У компанії підкреслюють, що 44% невдалих перевірок не означають, що стільки ж коду у реальних проєктах є вразливим. Тести відображають лише конкретні умови й не враховують додаткових заходів захисту, таких як статичний аналіз, корпоративні політики чи перевірка людиною.

Спеціалізовані моделі для програмування не показали значної переваги: їхній середній результат — 51%, тоді як універсальні моделі досягли 52%. Розмір моделі також майже не вплинув на безпеку: великі моделі набрали 53%, середні й малі — 51%. Найкраще впоралися моделі з режимом міркувань (reasoning mode): 56% проти 51% у решти. Лідером рейтингу стала GPT-4.5 із результатом 68%, тоді як більшість моделей отримали від 50% до 53%.

Відчутна різниця спостерігалася між мовами програмування: Python показав найвищий середній результат (63%), а Java — найнижчий (30%), хоча її показники поступово зростають. Це свідчить, що вибір мови програмування впливає на ймовірність отримати безпечний код від ШІ.

Veracode рекомендує розглядати будь-який код, створений штучним інтелектом, як неперевірений і обов’язково проводити перевірки безпеки перед інтеграцією в основну кодову базу, зокрема аналізувати залежності. Головний висновок звіту звучить так:

"Швидкість генерації працездатного коду не замінює контроль, здатний виявити вразливості, які функціональне тестування просто не помічає."

Про це повідомляє компанія Veracode у своєму звіті.