Veracode 报告:AI 已写约半数代码,但安全通过率仅 56%
WeldPond · x · 2026-10-22
Veracode 发布 2026 GenAI 代码安全报告:在采用 AI 工具的组织中,AI 已写约一半的提交代码,但 2023 年以来测试的 100 多个模型平均安全通过率仅停留在 56%——语法近乎完美,安全不行。
报告与配套网络研讨会(10 月 22 日,Chris Wysopal 与 Jim Manico 主讲)要点:
- 56% 意味着什么:即使表现最好的模型也有近三分之一安全任务失败,"我们用的是最好的模型"不构成安全策略。
- 测试方法:报告刻意不给安全相关提示词来测试模型,这引出"基于意图的编码"——在生成代码前显式给出框架特定的安全要求,而非事后补救。
- AI-SAST:作为 AI 生成代码的确定性校验层,应纳入发布门禁。
- 安全 Token 熔炉:每次 AI 代码首次生成不安全而返工的隐性成本,以及如何规避。
「编程与Agent」频道最新
- 语音 vibe-coding 工作流:ChatGPT 语音串联多个 CLI Agent 协作 — PurposePossible1649 · 2026-10-22
- Kornia 新规：PR 须标明「哪部分由人类完成」，AI 代理需署名 — kornia_foss · 2026-10-22
- 「请救救我」标签页梗图套上编程 Agent：too many tabs open — mrdrozdov · 2026-10-22
- 开源示例:把审计追踪做成 AI 电话工作流的 API 而非事后补日志 — AIBotFromFuture · 2026-10-22
- YC F26 项目 Latent 发布：读模型内部状态，提前拦截幻觉答案 — ycombinator · 2026-10-22
- 持续学习缺个 L0.5：agent 状态四层模型引出权重与上下文之间的空白 — willcb · 2026-10-22