Kecepatan AI menulis kod kini lebih pantas daripada kelajuan pemeriksaan pasukan keselamatan. Satu kajian baharu oleh Linux Foundation yang disokong dan dilibatkan oleh ActiveState menunjukkan bahawa 58% pasukan telah melepaskan kod pada kadar yang melebihi kemampuan pemeriksaan keselamatan; sementara itu, 60% responden menyatakan bahawa pembantu pengaturan kod AI telah meningkatkan bilangan pakej perisian luar di perpustakaan kod mereka. Namun, bagi ketergantungan tidak langsung yang diperkenalkan oleh pakej-pakej ini, iaitu “ketergantungan transitif”, pasukan hanya memeriksa kira-kira separuh masa sahaja.
ActiveState merupakan penyokong dan penyumbang kepada kajian baharu ini. Kajian ini disokong oleh Open Source Security Foundation (OpenSSF) dan LF AI & Data Foundation. ActiveState mengumumkan keputusan kajian bertajuk "State of AI Impact on Software Security and Cybersecurity 2026" pada hari Isnin. Kajian tersebut menyatakan bahawa jurang yang semakin lebar sedang muncul antara kelajuan pembangunan perisian yang digerakkan oleh AI dan kemampuan organisasi untuk melindungi keselamatan kod yang dihasilkan.
Kajian menunjukkan bahawa cabaran ini menjadi lebih mendesak seiring AI yang mempercepat penghasilan kod dan penemuan lubang keamanan secara serentak, meninggalkan organisasi dengan masa yang semakin singkat untuk mengenal pasti dan memperbaiki masalah sebelum penyerang memanfaatkan kelemahan keselamatan. Kelemahan PHP2Shell pada Oktober 2026 menonjolkan kegentingan ini: patch kecemasan telah dikeluarkan dalam beberapa jam selepas pengungkapan lubang, dan percubaan pemanfaatan telah dilaporkan. Kajian menyatakan bahawa seiring kelajuan pengenalan dan pemanfaatan lubang keamanan yang terus meningkat, organisasi menghadapi tekanan yang semakin besar untuk memastikan tinjauan keselamatan, audit bergantung, dan pembaikan dapat mengekori ritme tersebut.
Survei ini merangkumi 172 profesional keselamatan dari perusahaan dan projek sumber terbuka. Survei juga mendapati bahawa AI juga merupakan sebahagian daripada penyelesaian, tetapi dengan beberapa kompromi. Responden menyatakan bahawa 30% daripada lubang keamanan yang ditemui dalam setahun terakhir telah dikesan menerusi alat bantuan AI; 69% responden mengatakan alat-alat ini secara signifikan meningkatkan postur keselamatan mereka. Secara purata, alat AI mempercepatkan kerja keselamatan sebanyak 17%, tetapi laporan palsu lubang keamanan meningkatkan beban kerja profesional sebanyak 30%, yang menonjolkan keperluan untuk mencapai keseimbangan antara peningkatan kecekapan yang dibawa oleh AI dan pengawasan keselamatan yang berkesan.
Abby Kearns, CEO ActiveState, berkata: "Pembantu pengaturan AI bukan hanya menulis kod, tetapi juga memilih dependensi anda, dan kajian ini menunjukkan bahawa pasukan hanya memeriksa sekitar separuh daripada kandungan yang mengikutinya. Ini sejajar dengan apa yang kami dengar setiap minggu daripada pelanggan. Memperlambatkan pembangun bukanlah penyelesaian. Jawapannya ialah menentukan komponen mana yang boleh dipercayai sebelum kod memasuki repositori, supaya pembangun dan alat AI mereka boleh bermula dengan komponen yang telah disahkan oleh pasukan keselamatan."
Penemuan utama lainnya termasuk:
- Kemahiran menghadapi risiko. 82% responden bersetuju bahawa ketergantungan berlebihan terhadap alat AI akan melemahkan kemahiran keselamatan pembangun.
- Kekhawatiran melebihi tahap persiapan. Bagi setiap ancaman berkaitan AI yang diukur, jumlah profesional yang mengatakan mereka khawatir melebihi jumlah yang percaya mereka sudah bersedia. Perbezaan terbesar ialah dalam penggunaan automatik AI untuk menghasilkan eksploitasi dan pengujian kabur, dengan perbezaan sebanyak 41 peratus.
- Rantaian bekalan menduduki tempat pertama dalam senarai kebimbangan. Serangan rantaian bekalan adalah isu paling dikhawatirkan oleh pakar keselamatan, pada 93%; diikuti oleh prompt injection pada 90%; dan beban penjagaan akibat kemas kini komponen frekuensi tinggi pada 87%.
- Tanggung jawab tidak jelas. Hanya 30% daripada pasukan yang mempunyai jawatan khas yang bertanggungjawab terhadap ancaman keselamatan yang berkaitan dengan AI, dan hanya sekitar sepertiga daripada pasukan yang mempunyai dasar keselamatan rasmi yang merangkumi AI.
- Pengesahan tanggungjawab akan membawa pulangan. Di kalangan pasukan yang mempunyai jawatan keselamatan AI khas, 75% menyatakan mereka telah bersedia sepenuhnya untuk serangan adversarial terhadap sistem AI; manakala dalam kalangan keseluruhan responden, peratusan ini ialah 50%.
- Pemeriksaan manusia bukan keperluan lalai. Di kalangan pasukan yang mempunyai dasar keselamatan AI, hanya 57% yang memerlukan pemeriksaan manusia terhadap kod yang dihasilkan oleh AI.
Kajian menunjukkan bahawa penemuan-penemuan ini bersama-sama mengindikasikan bahawa seiring dengan peningkatan pengambilan AI, tanggungjawab keselamatan perlu ditentukan dengan lebih jelas dan tatacara perlu diperkuat. Kajian ini juga menunjukkan bahawa penciptaan jawatan khas, pembentukan dasar yang jelas, serta pelaksanaan alat yang betul berkaitan dengan tahap persiapan yang lebih tinggi; namun, tinjauan ini tidak membuktikan bahawa amalan-amalan ini menyebabkan perbezaan.
Laura Guazzelli, arkitek keselamatan untuk AI/ML/LLM/Agentic Systems di OpenSSF, berkata: "Seiring AI mempercepat pembangunan perisian, organisasi juga perlu mengendalikan dan melindungi kod yang dihasilkan dengan hati-hati yang sama. Ini bermula dengan memahami di mana AI memperkenalkan risiko dalam rantai pasokan perisian, menentukan siapa yang bertanggungjawab mengatasi risiko ini, dan memastikan amalan keselamatan dapat mengejar perubahan dalam cara perisian dibina."
Laporan merekomendasikan agar organisasi menetapkan penanggung jawab yang jelas untuk ancaman keselamatan terkait AI, membuat kebijakan keselamatan AI yang formal, serta memasukkan tinjauan manusia terhadap kod yang dihasilkan, sambil memperketat kawalan terhadap ketergantungan langsung dan ketergantungan transitif. Berdasarkan temuan ini, ActiveState merekomendasikan agar tata kelola diterapkan sejak perkenalan komponen sumber terbuka, membolehkan pasukan keselamatan menentukan komponen mana yang boleh dimasukkan ke dalam rantai pasokan perisian sebelum pengembang atau pembantu AI mengambil komponen tersebut.
Laporan penuh "Keadaan Dampak AI terhadap Keselamatan Perisian dan Keselamatan Siber 2026" boleh dilihat di laman web Linux Foundation, yang merangkumi dapatan penyelidikan dan cadangan amali: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Tentang ActiveState
ActiveState menyatakan bahawa syarikat berkomitmen untuk menjamin keselamatan rantai bekalan perisian dari sumbernya di era pengkodean AI. Dengan memanfaatkan ActiveState Curated Catalog—sebuah gudang komponen sumber terbuka peribadi yang telah disemak—tim keselamatan boleh menentukan komponen mana yang dibenarkan masuk ke perisian perusahaan sebelum ia diperkenalkan oleh pembangun atau pembantu pengkodean AI. Syarikat tersebut menyatakan bahawa ini memberikan kuasa kawalan kepada tim keselamatan sambil mempertahankan kelajuan pembangunan tim kejuruteraan. Curated Catalog boleh digunakan bersama gudang artefak, pemindai, dan pembantu pengkodean AI yang sudah digunakan oleh pasukan. Maklumat lanjut di activestate.com.
Sumber mesej: ActiveState