Опрос Checkmarx: 70% разработчиков считают, что ИИ-код содержит больше уязвимостей; 30% всё равно его поставляют

Ежегодный опрос Checkmarx по безопасности приложений среди 2 350 глобальных разработчиков, CISO и менеджеров по безопасности приложений рисует мрачную картину: 70% респондентов считают, что код, сгенерированный ИИ, содержит значительно больше уязвимостей, но 30% сознательно выпускают уязвимый код в продакшен. Опрос 2026 года продолжает серию отчётов с 2023 года, с увеличением выборки на 54% в этом году.

Ключевые выводы

• Доля кода, сгенерированного ИИ, немного снизилась — с 54% до 49% производственного кода, но всё ещё высока.
• 70% отмечают значительно больше уязвимостей в коде ИИ по сравнению с кодом, написанным человеком.
• 30% сознательно выпускают уязвимый код ИИ в продакшен, ссылаясь на давление из-за необходимости быстрого развёртывания, сложность исправления или надежду на другие средства контроля.
• 93% организаций столкнулись с одной или несколькими утечками данных из-за уязвимых приложений (снижение с 98% в прошлом году).
• Открытый исходный код составляет 59% производственного кода, добавляя риск от вредоносных пакетов в npm, PyPI.
• Организации, где 81-100% кода создаётся ИИ, выпускают уязвимый код в 3,4 раза чаще по сравнению с теми, у кого доля ИИ составляет 1-20%.

Исследователи Checkmarx обнаружили, что LLM склонны недоиспользовать современные функции безопасности языков и компиляторов, поскольку обучающие данные содержат устаревшие практики. Отдельное исследование Университета Центральной Флориды и Бирзейтского университета показало, что наибольшее количество уязвимостей, сгенерированных ИИ, было в коде на C, наименьшее — в Python.

Цитата из отчёта: «Риск нормализован». Авторы предупреждают, что объём кода ИИ напрямую коррелирует с развёртыванием уязвимого кода и частотой утечек.