Ang bilis ng paggawa ng code ng AI ay nagsisilbing mas mabilis kaysa sa pagrerebyu ng mga team sa seguridad. Ayon sa isang bagong pag-aaral ng Linux Foundation na sinuportahan at naibahagi ng ActiveState, 58% ng mga team ay naglalabas ng code nang mas mabilis kaysa sa kakayahan ng pagrerebyu sa seguridad na makasunod; samantala, 60% ng mga sumagot ay nagsabi na ang mga AI programming assistant ay nagdulot ng pagtaas sa bilang ng mga panlabas na software package sa kanilang codebase. Gayunpaman, para sa mga indirektong dependency na dinala ng mga software package na ito, o tinatawag na “transitive dependencies,” ang mga team ay nagrerebyu lamang nang halos kalahati ng oras.
Ang ActiveState ay ang sponsor at kontribyutor ng bagong pag-aaral. Ang pag-aaral ay suportado ng Open Source Security Foundation (OpenSSF) at LF AI & Data Foundation. Ipinahayag ng ActiveState noong Lunes ang mga resulta ng pag-aaral na “State of AI Impact on Software Security and Cybersecurity 2026”. Ayon sa pag-aaral, patuloy na lumalawak ang pagkakaiba sa pagitan ng bilis ng AI-driven software development at ang kakayahan ng mga organisasyon na protektahan ang kaligtasan ng kanilang mga nalikhang code.
Ayon sa pag-aaral, habang pinapabilis ng AI ang paggawa ng code at paghahanap ng mga butas, mas nagiging urgente ang mga hamon na ito, dahil mas maliit na oras ang natitira sa mga organisasyon upang makakita at mapag-ayos ang mga problema bago gamitin ng mga hacker. Ipinakita ng butas sa PHP2Shell noong Oktubre 2026 ang ganitong urgensiya: ilang oras lamang pagkatapos ng pagpapahayag ng butas, ipinakalabas na ang emergency patch at na-report ang mga pagsubok sa paggamit. Ayon sa pag-aaral, habang mas mabilis ang pagkakakilanlan at paggamit ng mga butas, lalong dumadami ang presyon sa mga organisasyon upang siguraduhing sumasabay ang kanilang security review, pagsusuri sa mga dependency, at pagpapagawa ng pag-ayos.
Kinabigyan ng sakop ang pag-aaral na ito ang 172 na propesyonal sa kaligtasan mula sa mga negosyo at mga proyekto ng bukas na pinagkukunan. Natuklasan din ng pag-aaral na ang AI ay bahagi rin ng solusyon, ngunit kasama nito ang ilang kompromiso. Sinabi ng mga sumagot na 30% ng mga vulnerabilities na natuklasan noong nakaraang taon ay natuklasan gamit ang mga kasangkapan na nakatutulong sa AI; 69% ng mga sumagot ay nagsabing nagpabuti nang malaki ang kanilang kaligtasang kalagayan dahil sa mga kasangkapan na ito. Sa pangkalahatan, nagpabilis ng 17% ang mga kasangkapan sa AI sa paggawa ng kaligtasan, ngunit dinagdagan ng 30% ang workload ng mga propesyonal dahil sa maling pagpapahayag ng vulnerabilities, na nagpapakita ng pangangailangan na magkaroon ng balanse sa pagitan ng pagpapabilis na dulot ng AI at epektibong pagmamonitor sa kaligtasan.
Sinabi ni Abby Kearns, CEO ng ActiveState: "Hindi lang ang AI programming assistants ang sumusulat ng code, kundi sila rin ang pumipili ng iyong mga dependency, at ipinakikita ng pag-aaral na ang mga team ay tinitingnan lamang ang halos kalahati ng mga kasunod na nilalaman. Ito ay sumasalungat sa karanasan namin tuwing linggo mula sa mga kliyente. Ang pagpapabagal sa mga developer ay hindi solusyon. Ang sagot ay magdesisyon kung aling mga bagay ang dapat tiwalaan bago pumasok sa codebase, upang magsimula ang mga developer at kanilang mga AI tool sa mga komponente na naitaas na ng security team."
Ang iba pang mga pangunahing natuklasan ay kasama ang:
- Nakararanas ng panganib ang kasanayan. Sumasang-ayon ang 82% ng mga sumagot na ang sobrang pagkakasalig sa mga kasangkapan sa AI ay magpapakalat sa mga kasanayan sa seguridad ng mga developer.
- Nakakalungkot ang pagkakaroon ng higit pang pag-aalala kaysa sa paghahanda. Para sa bawat uri ng banta na may kaugnayan sa AI, mas maraming propesyonal ang nagsasabing nag-aalala kaysa sa mga naniniwala na handa na sila. Ang pinakamalaking pagkakaiba ay sa AI-powered automated exploit generation at fuzz testing, na may pagkakaiba ng 41 puntos.
- Ang supply chain ay nasa unahan ng listahan ng mga pag-aalala. Ang supply chain attack ay ang pinakamalaking pag-aalala ng mga eksperto sa seguridad, na may 93%; susunod ang prompt injection, na may 90%; at ang burden sa pagpapanatili dahil sa madalas na pag-update ng mga komponente, na may 87%.
- Hindi malinaw ang pagkakaroon ng responsibilidad. Tanging 30% ng mga koponan ang may espesyal na posisyon para sa mga panganib sa kaligtasan na may kinalaman sa AI, at tanging halos isang-katlo lamang ng mga koponan ang may opisyal na patakaran sa kaligtasan na kasama ang AI.
- Ang pagkakaroon ng malinaw na pagkakakilanlan ay magdudulot ng kapakinabangan. Sa mga koponan na may espesyalisadong posisyon sa AI security, 75% ang nagsabing handa na sila para sa mga adversarial attack sa AI systems; samantalang sa lahat ng sumagot, ang porsyento ay 50%.
- Hindi ito default na kailangan ng tao. Sa mga team na may patakaran sa kaligtasan ng AI, lamang 57% ang nangangailangan ng tao na pagsusuri sa code na nilikha ng AI.
Ayon sa pag-aaral, ang mga natuklasang ito ay nagpapakita na kasabay ng pagtaas ng paggamit ng AI, kailangan ng mas malinaw na pagtukoy sa responsibilidad sa kaligtasan at pagpapalakas ng pamamahala. Tinitiyak din ng pag-aaral na ang pagtatatag ng espesyalisadong posisyon, pagbuo ng malinaw na patakaran, at tamang pagsasagawa ng mga kasangkapan ay may kinalaman sa mas mataas na antas ng paghahanda; ngunit hindi patunay ng survey na ang mga gawain na ito ang sanhi ng pagkakaiba.
Sinabi ni Laura Guazzelli, security architect ng OpenSSF para sa AI/ML/LLM/Agentic Systems: "Samantalang pinapabilis ng AI ang pag-unlad ng software, kailangan din ng mga organisasyon na magkaroon ng parehong pag-iingat sa paggawa at pagprotekta ng code na nilalabas. Dapat magsimula ito sa pag-unawa kung saan mga bahagi ng software supply chain ang pinapakilala ng AI ng panganib, pagtukoy kung sino ang responsable sa pagharap sa mga panganib na ito, at pagpapakatotoo na ang mga praktis sa kaligtasan ay sumasabay sa pagbabago ng paraan ng pagbuo ng software."
Inirerekomenda ng ulat na dapat magtakda ang mga organisasyon ng tiyak na tagapag-ugnay para sa mga banta sa kaligtasan na may kaugnayan sa AI, magbuo ng opisyal na patakaran sa AI security, at isama ang pagsusuri ng tao sa mga ginawang code, habang pinapalakas ang kontrol sa direkta at transitive na mga dependensya. Batay sa mga natuklasang ito, inirerekomenda ni ActiveState na maglagay ng pamamahala sa panahon ng pagpapakilala ng mga open-source component, upang makapagdesisyon ang mga timbangan ng seguridad bago ang mga developer o AI assistant ay magdala ng anumang component sa software supply chain.
Ang buong ulat na “Kasalukuyang Kalagayan ng Epekto ng AI sa Software Security at Cybersecurity hanggang 2026” ay maaaring makita sa website ng Linux Foundation, na naglalaman ng mga natuklasan sa pag-aaral at mga praktikal na rekomendasyon: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Tungkol sa ActiveState
Sinasabi ng ActiveState na ang kompanya ay nakatuon sa pagtataguyod ng kaligtasan ng supply chain ng software mula sa pinagmulan sa panahon ng AI coding. Gamit ang ActiveState Curated Catalog—isang pribadong, nagsasagawa ng pagsusuri na repository ng open-source components—ang mga security team ay maaaring magdesisyon kung ano ang maaaring masali sa enterprise software bago ito ipasok ng mga developer o AI programming assistants. Sinasabi ng kompanya na ito ay nagbibigay ng kontrol sa mga security team habang pinapanatili ang bilis ng pag-unlad ng engineering team. Ang Curated Catalog ay maaaring gamitin kasama ang mga artifact repository, scanner, at AI programming assistants na ginagamit na ng mga team. Para sa karagdagang impormasyon, bisitahin ang activestate.com.
Pinagkunan ng mensahe: ActiveState