Pesquisa Checkmarx: 70% dos desenvolvedores dizem que código de IA tem mais vulnerabilidades; 30% o implantam mesmo assim

A pesquisa anual AppSec da Checkmarx com 2.350 desenvolvedores, CISOs e gerentes de AppSec globais revela um quadro preocupante: 70% dos entrevistados acreditam que o código gerado por IA contém significativamente mais vulnerabilidades, mas 30% sabidamente enviam código vulnerável para produção. A pesquisa de 2026 segue relatórios semelhantes desde 2023, com uma amostra 54% maior este ano.

Principais descobertas

• Participação do código gerado por IA caiu ligeiramente — de 54% para 49% do código em produção, mas ainda alta.
• 70% relatam significativamente mais vulnerabilidades com código gerado por IA em comparação com código escrito por humanos.
• 30% sabidamente enviam código vulnerável de IA para produção, citando pressão para implantar rapidamente, dificuldade de correção ou dependência de outros controles.
• 93% das organizações sofreram uma ou mais violações de segurança devido a aplicativos vulneráveis (queda de 98% no ano passado).
• Código aberto representa 59% do código em produção, adicionando risco de pacotes maliciosos em npm, PyPI.
• Organizações onde 81-100% do código é gerado por IA enviam código vulnerável a uma taxa 3,4x maior do que aquelas com adoção de 1-20%.

Pesquisadores da Checkmarx descobriram que LLMs tendem a subutilizar recursos modernos de segurança de linguagens e compiladores porque os dados de treinamento contêm práticas desatualizadas. Um estudo separado da Universidade da Flórida Central e da Universidade de Birzeit mostrou que o código C tinha mais vulnerabilidades geradas por IA, e o Python, menos.

Citação do relatório: "O risco está normalizado." Os autores alertam que o volume de código IA se correlaciona diretamente com a implantação de código vulnerável e a frequência de violações.