AI 撰寫代碼的速度，正快於安全團隊的審查速度。由 ActiveState 贊助並參與的 Linux Foundation 新研究顯示，58% 的團隊發布代碼的速度已超過安全審查能夠跟上的水平；與此同時，60% 的受訪者表示，AI 編程助手增加了其代碼庫中的外部軟體包數量。但對於這些軟體包引入的間接依賴，也就是「傳遞性依賴」，團隊僅約一半時間會進行審查。
ActiveState 是這項新研究的贊助方和貢獻方。該研究由 Open Source Security Foundation（OpenSSF）和 LF AI & Data Foundation 支持。ActiveState 於週一公布了《2026年AI對軟體安全與網路安全影響現狀》（State of AI Impact on Software Security and Cybersecurity 2026）的研究結果。研究指出，AI 驅動的軟體開發速度與組織保護所產出代碼安全的能力之間，正出現不斷擴大的差距。
研究指出，隨著 AI 同時加速程式碼生成與漏洞發現，這些挑戰正變得更加緊迫，組織在攻擊者利用安全缺陷之前識別並修復問題的時間越來越少。2026年10月的 PHP2Shell 漏洞凸顯了這種緊迫性：漏洞披露後數小時內，即已發布緊急修補程式，並報告了利用嘗試。研究稱，隨著漏洞被識別和利用的速度不斷加快，組織正面臨越來越大的壓力，必須確保安全審查、依賴項審核與修復工作能跟上節奏。
這項調查涵蓋了172名來自企業和開源項目的安全從業者。調查還發現，AI 也是解決方案的一部分，但伴隨著一些權衡。受訪者表示，在過去一年發現的漏洞中，有30%是借助 AI 輔助工具檢測到的；69%的受訪者稱，這些工具顯著改善了他們的安全態勢。平均來看，AI 工具讓安全工作提速17%，但漏洞誤報使從業者的工作量增加了30%，這凸顯出在 AI 帶來的效率提升與有效安全監督之間需要取得平衡。
ActiveState 首席执行官 Abby Kearns 表示：「AI 編程助手不只是寫代碼，它們還會選擇你的依賴項，而這項研究顯示，團隊僅檢查了隨之而來內容的大約一半。這與我們每週從客戶那裡聽到的情況一致。放慢開發者的速度並不能解決問題。答案是在代碼進入代碼庫之前，就決定哪些內容值得信賴，這樣開發者及其 AI 工具就能從安全團隊已批准的組件開始。」
其他主要發現包括：
- 技能面臨風險。82% 的受訪者認同，過度依賴 AI 工具會削弱開發者的安全技能。
- 擔憂超過了準備程度。對於每一項被衡量的 AI 相關威脅，表示擔憂的從業者多於認為自己已做好準備的人。其中差距最大的是 AI 自動化漏洞利用生成和模糊測試，差值達 41 個百分點。
- 供應鏈位居憂慮清單首位。供應鏈攻擊是安全專家最擔心的問題，佔比93%；其後是提示注入，佔比90%；以及高頻組件更新帶來的維護負擔，佔比87%。
- 責任歸屬不明。僅有 30% 的團隊設有專門負責 AI 相關安全威脅的崗位，僅約三分之一的團隊擁有涵蓋 AI 的正式安全政策。
- 明確歸屬會帶來回報。在設有專門 AI 安全崗位的團隊中，75% 表示自己已為針對 AI 系統的對抗性攻擊做好充分準備；而在全部受訪者中，這一比例為 50%。
- 人工審查並非預設要求。在擁有 AI 安全政策的團隊中，僅有 57% 要求對 AI 生成的代碼進行人工審查。
研究指出，這些發現共同表明，隨著 AI 的採用程度提高，需要更明確地界定安全責任並加強治理。研究同時指出，設立專門崗位、制定清晰政策以及正確實施工具，與較高的準備程度存在相關性；但該調查並未證明這些做法導致了差異。
OpenSSF 負責 AI/ML/LLM/Agentic Systems 的安全架構師 Laura Guazzelli 表示：「隨著 AI 加速軟體開發，組織也需要同樣審慎地治理和保護所產出的程式碼。這要從理解 AI 在軟體供應鏈的哪些環節引入風險開始，明確由誰負責應對這些風險，並確保安全實踐能夠跟上軟體建構方式的變化。」
報告建議，組織應為 AI 相關安全威脅指定明確負責人，制定正式的 AI 安全政策，並將對生成代碼的人工審查納入其中，同時加強對直接依賴和傳遞性依賴的控制。基於這些發現，ActiveState 建議在掃描和審查之外，於開源組件引入環節就實施治理，讓安全團隊在開發者或 AI 助手將組件拉入之前，先決定哪些組件可以進入軟體供應鏈。
完整報告《2026年AI對軟體安全與網路安全影響現狀》可於 Linux Foundation 網站查閱，內容包括研究發現與實務建議：https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
關於 ActiveState
ActiveState 表示，公司致力於在 AI 編碼時代從源頭保障軟體供應鏈安全。藉助 ActiveState Curated Catalog——一個私有、經過審核的開源組件倉庫——安全團隊可以在開發者或 AI 編程助手引入組件之前，決定哪些內容能夠進入企業軟體。該公司表示，這讓安全團隊獲得控制權，同時保持工程團隊的開發速度。Curated Catalog 可與團隊已在使用的製品倉庫、掃描器和 AI 編程助手配合使用。更多資訊見 activestate.com。
消息來源：ActiveState