据TechRadar报道，AI编程助手在已采用它们的组织中已承担约一半的提交代码，但生成代码的平均安全通过率只有56%，约44%的受测代码生成任务会引入已知漏洞。文章称，AI生成代码在语法正确性上的通过率高达99.9%，安全表现却明显滞后；随着AI生成代码数量增加而安全表现基本未变，组织可能把更多易受攻击的代码带入开发环境。软件漏洞目前占入侵入口的31%，已超过被盗凭证。
Veracode首席安全布道师克里斯·维索帕尔在文中指出，缩小这一差距需要把安全纳入AI辅助开发的起点，按风险选择模型，并在代码进入生产环境前结合上下文验证。文章称，模型选择本身就是安全决策：测试中最强的模型安全通过率为68%，11个模型中有6个集中在50%至53%。不同漏洞类型的安全表现差异明显，SQL注入通过率为83%，不安全加密算法为87%，跨站脚本仅为15%，日志注入为12%。
文章认为，部分弱点可通过可识别的编码模式发现，另一些则取决于数据流、授权、信任边界以及应用不同部分的交互，因此验证需要发生在工作流和应用上下文中。AI原生分析可在拉取请求中补充上下文风险检测，发现逻辑缺陷和身份验证失效等问题；关键仍是将上下文分析与独立测试结合，在代码合并、风险扩散前完成检查。
随着AI提高软件开发的速度和数量，安全团队需要评估、排序和修复的风险也在增加。文章称，安全债正在累积：82%的组织受到安全债影响，60%受到关键安全债影响。若把所有发现都视为同等紧急，有限的修复能力会被分散，团队需要依据可利用性、应用关键性和业务影响来排序，把修复资源投向最可能造成实际危害的漏洞。AI驱动的修复可在开发者工作流内提出修复建议，帮助缩短发现与处置之间的差距。