کدهای تولید شده توسط هوش مصنوعی همچنان اغلب در بررسی‌های امنیتی با شکست مواجه می‌شوند – با کلود و GPT-6 در صدر جدول برتر

امنیت کدهای تولید شده توسط هوش مصنوعی برای اولین بار در یک سال گذشته بهبود یافت و نرخ آسیب‌پذیری از 44% به 38% کاهش یافت.

مدل های برتر در جلوگیری از نقص های رایج مانند XSS عملکرد بهتری داشتند، اما همچنان با استدلال های امنیتی پیچیده دست و پنجه نرم می کردند

محققان تاکید می کنند که کدهای تولید شده توسط هوش مصنوعی قبل از استقرار هنوز به آزمایش و تأیید امنیتی مستقل نیاز دارند کد رایانه ای تولید شده توسط مدل های هوش مصنوعی مرزی ایمن تر شده است و در نتیجه دارای آسیب پذیری های کمتری است.

این بر اساس گزارش جدید Veracode است که ادعا می کند این اولین پیشرفت قابل توجه در یک سال است.

در جولای 2025، Veracode شروع به انتشار گزارش امنیتی GenAI Code خود کرد که کدهای تولید شده توسط LLM ها را برای آسیب پذیری ها و خطرات امنیتی تجزیه و تحلیل می کرد. از آن زمان، محققان شرکت متوجه روندی شدند - این کد تقریبا عالی عمل می کرد، اما از نظر امنیتی، چیزهای زیادی باقی می ماند.

آیا عیوب XSS ارزش این مشکل را دارد؟

کریس وایسوپال، یکی از بنیانگذاران و مدیر مبشر امنیتی در Veracode، گفت: "ما بیش از یک سال است که کدهای تولید شده توسط چندین LLM را تجزیه و تحلیل می کنیم. تا به حال، علیرغم عملکرد تقریبا بی نقص، پیشرفت قابل توجهی در امنیت کد هوش مصنوعی ندیده ایم."

"این اولین بار از زمان اجرای مطالعه ما است که می‌توانیم یک حرکت معنادار را در شماره‌گیر امنیتی گزارش کنیم."

این حرکت معنادار جهشی از 56 درصد به 62 درصد در امنیت کد کلی تولید شده توسط هوش مصنوعی است. در عین حال، Veracode اضافه کرد که آسیب‌پذیری‌ها از 44 درصد به 38 کاهش یافته است، و گفت که این مهم‌ترین پیشرفت از زمان انتشار گزارش‌ها بوده است. Claude Opus 5.5 از Anthropic و GPT-6-Sol از OpenAI با 73 درصد، از بالاترین سطح قبلی 68 درصدی که توسط GPT-5.5 در جولای 2026 تعیین شده بود، پیشتاز هستند.

وایسوپال گفت: «ده مدل اکنون 60 درصد از 4 مدل در گزارش گذشته افزایش یافته است و میانگین کلی 6 درصد افزایش یافته است. با حدود نیمی از کدهای تولید شده توسط هوش مصنوعی، نتایج امروز واقعا دلگرم کننده است.

برای پیش نویس این گزارش، Veracode 18 مدل را در چهار زبان (پایتون، سی شارپ، جاوا اسکریپت، و جاوا) و چهار دسته بندی ضعف رایج (CWE) (CWE-89، CWE-327، CWE-80، CWE-117) آزمایش کرد. Claude Opus 5.5 و GPT-6-Sol با 73 درصد بالاترین جایگاه را به خود اختصاص دادند و پس از آن GPT-5.5 که 68 درصد را به خود اختصاص داد. در ماه جولای، شش مدل از 11 مدل بین 50 تا 53 امتیاز کسب کردند، در حالی که امروز تنها دو مدل در آن باند باقی مانده اند، در حالی که 10 مدل حداقل 60 درصد را کسب کردند. پایین هنوز در 44٪ - 50٪ درصد است.

در حالی که نتایج به طور قطع قابل ستایش است، یک هشدار وجود دارد. ظاهرا محرک اصلی سود کلی در اسکریپت نویسی متقابل سایت (XSS) بود که مسلما یکی از ضعیف ترین دسته ها است. XSS به 18٪ افزایش یافت که همچنین بزرگترین تغییر در مجموعه داده است. با توجه به Veracode، XSS "ساده ترین آسیب پذیری برای رفع از طریق تشخیص الگو" است، که دقیقا چگونه LLM ها بهبود می یابند. در مواردی که استدلال جریان داده در چندین عملکرد مورد نیاز است (مثلا در موارد تزریق لاگ)، LLM ها همچنان متوقف می شوند.

میوه کم آویزان

به عبارت دیگر، هوش مصنوعی میوه کم آویزان را انتخاب کرده و آن را یک روز نامیده است. ما مطمئن نیستیم که آیا باید از این موضوع ناامید شویم، زیرا حملات XSS رایج هستند و این آسیب پذیری هنوز در سراسر وب وجود دارد.

در این گزارش، Veracode همچنین گفت که آب مرطوب است و آسمان عمدتا آبی است: متوجه شد که مدل‌های با عملکرد بالا هزینه بیشتری دارند.

با این حال، آنها گفتند که به احتمال زیاد پرداخت پول برای مشکل بهترین راه حل نیست: "مدل هایی که امن ترین کد را تولید می کنند، آنهایی هستند که برای اجرا در مقیاس هزینه بیشتری دارند، با این حال آنها هنوز در بیش از یک مورد از هر چهار وظیفه امنیتی شکست می خورند." پاسخ هرگز نباید این باشد که از گران‌ترین مدل استفاده کنید و به بهترین‌ها امیدوار باشید. یک مدل سطح متوسط ​​با نرخ عبور 60% به علاوه اسکن Veracode دقیق‌تر، مقرون‌به‌صرفه‌تر و مقیاس‌پذیرتر از یک مدل مرزی با 73% بدون تأیید است.

در نتیجه، بهبود وجود دارد، اما "بخش کوچکی از زخم بزرگتر را ترمیم می کند." سازمان‌ها باید مطمئن شوند که کد هوش مصنوعی را با تأیید امنیتی مستمر و مستقل ترکیب می‌کنند که می‌تواند آنچه را که مدل‌ها از دست می‌دهند، تشخیص دهد.