Veracode报告：AI生成代码安全漏洞率降至38%，Claude与GPT-6领先但复杂推理仍弱
Veracode最新报告显示，AI生成代码的安全漏洞率首次显著下降至38%，Claude Opus 5.5和GPT-6-Sol以73%的通过率并列第一。然而，改进主要集中在模式识别较强的跨站脚本攻击（XSS）防御上，而在需要多函数数据流推理的复杂安全场景中，模型表现依然停滞不前。
根据美国网络安全公司Veracode发布的最新《GenAI Code Security Report》，由前沿大语言模型生成的代码在安全性上取得了自该系列报告启动以来最显著的进步。整体安全得分从上一期的56%跃升至62%，而代码中的漏洞率则从44%下降至38%。这是Veracode研究人员在过去一年中观察到的首次实质性改善。
在具体模型排名方面，Anthropic公司的Claude Opus 5.5和OpenAI公司的GPT-6-Sol以73%的通过率并列榜首，超越了此前由GPT-5.5在2026年7月创下的68%的最高纪录。目前已有10款模型的通过率超过60%，较上一份报告中的4款大幅增加。Veracode联合创始人兼首席安全布道师Chris Wysopal表示：“尽管功能实现几乎完美，但我们此前从未见过AI代码安全性的显著提升。这次是研究开展以来，我们首次能够报告安全指标上的有意义变化。”
然而，这一进步存在明显的结构性局限。Veracode指出，整体得分提升的主要驱动力来自跨站脚本攻击（XSS）防御能力的增强，其相关指标上升至18%，成为数据集中变化最大的单项。XSS被视为“最容易通过模式识别修复”的漏洞类型，这恰好是大语言模型擅长的领域。相比之下，当任务涉及跨多个函数的数据流推理时（例如日志注入场景），模型的表现依然停滞不前。这意味着AI目前主要是在“摘低垂的果实”，而非解决深层的逻辑安全缺陷。
此外，报告还揭示了成本与安全之间的权衡困境。虽然顶级模型能生成更安全的代码，但其运行成本也最高。Wysopal强调：“即使是最昂贵的模型，在超过四分之一的安全任务上仍然会失败。答案不应该是使用最贵的模型并寄希望于运气。一个通过率为60%的中端模型加上Veracode扫描，比一个通过率为73%但没有验证的前沿模型更准确、更具成本效益且更易扩展。”Veracode建议组织将AI生成的代码与持续、独立的安全验证相结合，以捕捉模型遗漏的风险。