Исследование Linux Foundation, поддержанное и проведенное ActiveState, показывает, что 58% команд выпускают код быстрее, чем команды безопасности могут его проверить. В то же время 60% респондентов заявили, что помощники по программированию на основе ИИ увеличили количество внешних пакетов в их кодовой базе. Однако команды проверяют косвенные зависимости, известные как «транзитивные зависимости», от этих пакетов только примерно в половине случаев.
ActiveState является спонсором и соавтором этого нового исследования. Исследование поддерживается Open Source Security Foundation (OpenSSF) и LF AI & Data Foundation. ActiveState в понедельник представила результаты исследования «State of AI Impact on Software Security and Cybersecurity 2026». В исследовании говорится, что между скоростью разработки программного обеспечения с использованием ИИ и способностью организаций обеспечивать безопасность создаваемого ими кода наблюдается растущий разрыв.
Исследования показывают, что с ускорением генерации кода и обнаружения уязвимостей с помощью ИИ эти вызовы становятся все более насущными, и у организаций остается все меньше времени для выявления и устранения проблем до того, как злоумышленники воспользуются уязвимостями. Уязвимость PHP2Shell в октябре 2026 года ярко продемонстрировала эту срочность: в течение нескольких часов после раскрытия уязвимости были выпущены срочные исправления и зафиксированы попытки эксплуатации. Исследования указывают, что по мере ускорения выявления и эксплуатации уязвимостей организации сталкиваются с все возрастающим давлением, чтобы обеспечить соответствие темпов безопасности, аудита зависимостей и устранения уязвимостей.
Опрос охватил 172 специалиста по безопасности из корпоративных компаний и открытых проектов. Также было установлено, что ИИ является частью решения, но с некоторыми компромиссами. Респонденты сообщили, что 30% уязвимостей, обнаруженных за последний год, были выявлены с помощью инструментов на основе ИИ; 69% опрошенных заявили, что эти инструменты значительно улучшили их безопасность. В среднем инструменты ИИ ускорили работу по безопасности на 17%, однако ложные срабатывания увеличили объем работы специалистов на 30%, что подчеркивает необходимость баланса между повышением эффективности за счет ИИ и эффективным надзором за безопасностью.
Генеральный директор ActiveState Эбби Кирнс сказала: «AI-помощники по программированию не просто пишут код — они выбирают ваши зависимости, и это исследование показывает, что команды проверяют примерно половину всего, что следует за этим. Это согласуется с тем, что мы еженедельно слышим от клиентов. Замедление разработчиков не решает проблему. Решение заключается в том, чтобы заранее определить, какие компоненты заслуживают доверия, прежде чем код попадет в репозиторий, чтобы разработчики и их AI-инструменты могли начинать с компонентов, уже одобренных командой безопасности».
Другие основные выводы включают:
- Навыки находятся под угрозой. 82% респондентов согласны, что чрезмерная зависимость от инструментов ИИ ослабляет безопасные навыки разработчиков.
- Озабоченность превышает уровень готовности. По каждому из измеряемых рисков, связанных с ИИ, количество профессионалов, выражающих озабоченность, превышает количество тех, кто считает себя готовым. Наибольший разрыв наблюдается в случае автоматизированного использования ИИ для генерации эксплойтов и фаззинга — разница составляет 41 процентный пункт.
- Цепочка поставок занимает первое место в списке опасений. Атаки на цепочку поставок являются наиболее тревожной проблемой для специалистов по безопасности, что составляет 93%; за ними следуют инъекции подсказок — 90%; и бремя обслуживания, связанное с частыми обновлениями компонентов — 87%.
- Ответственность нечетко определена. Только 30% команд имеют должности, специально отвечающие за AI-связанные угрозы безопасности, и лишь около одной трети команд имеют формальные политики безопасности, охватывающие AI.
- Четкое распределение ответственности приносит результаты. В командах, имеющих специализированные должности по безопасности ИИ, 75% сообщили, что они достаточно подготовлены к противодействию атакам на системы ИИ; среди всех опрошенных этот показатель составляет 50%.
- Ручная проверка не является обязательной по умолчанию. Среди команд с политиками безопасности ИИ только 57% требуют ручной проверки кода, сгенерированного ИИ.
Исследование показывает, что эти выводы в совокупности указывают на необходимость более четкого определения ответственности за безопасность и усиления управления по мере роста уровня внедрения ИИ. Исследование также отмечает, что назначение специализированных должностей, разработка четких политик и правильная реализация инструментов связаны с более высоким уровнем готовности; однако данное исследование не доказывает, что эти практики являются причиной таких различий.
Лаура Гуаззелли, архитектор безопасности в OpenSSF, отвечающая за безопасность AI/ML/LLM/агентных систем, сказала: «По мере ускорения ИИ разработки программного обеспечения организации также должны с такой же осмотрительностью управлять и защищать создаваемый код. Это начинается с понимания, на каких этапах цепочки поставок программного обеспечения ИИ вносит риски, определения ответственных за устранение этих рисков и обеспечения того, чтобы практики безопасности успевали за изменениями в способах построения программного обеспечения».
Отчет рекомендует организациям назначить ответственных за связанные с ИИ угрозы безопасности, разработать официальную политику безопасности ИИ и включить в нее ручной контроль сгенерированного кода, а также усилить контроль над прямыми и косвенными зависимостями. На основе этих выводов ActiveState рекомендует внедрять управление на этапе введения открытых компонентов, а не только при сканировании и проверке, чтобы команды безопасности могли заранее определить, какие компоненты могут быть включены в цепочку поставок программного обеспечения до того, как разработчики или ИИ-помощники их подтянут.
Полный отчет «Состояние влияния ИИ на безопасность программного обеспечения и кибербезопасность в 2026 году» доступен на сайте Linux Foundation и включает выводы исследования и практические рекомендации: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
О ActiveState
ActiveState заявляет, что компания стремится обеспечить безопасность цепочки поставок программного обеспечения на уровне источника в эпоху AI-программирования. С помощью ActiveState Curated Catalog — частного, проверенного репозитория открытых компонентов — команды безопасности могут определять, какие компоненты могут быть включены в корпоративное программное обеспечение до того, как их добавят разработчики или AI-помощники по программированию. Компания утверждает, что это позволяет командам безопасности сохранять контроль, не снижая скорость разработки инженерных команд. Curated Catalog совместим с репозиториями артефактов, сканерами и AI-помощниками по программированию, которые команды уже используют. Дополнительную информацию см. на activestate.com.
Источник сообщения: ActiveState