Sicurezza
Codice generato dall'IA: una falla nota nel 45% dei compiti
Il GenAI Code Security Report 2025 di Veracode e uno studio di METR ricordano che la velocità non basta senza un cambio di metodo.
Secondo il GenAI Code Security Report 2025 di Veracode, nel 45% dei compiti di generazione di codice testati (80 compiti, oltre 100 modelli) il modello ha introdotto una falla di sicurezza nota della OWASP Top 10. Il codice compila quasi sempre; è sicuro solo in poco più della metà dei casi.
Un anno dopo, nulla si è mosso
L'edizione 2026, pubblicata il 28 luglio, conferma il tetto (Veracode). Su tutti i modelli monitorati dall'inizio della serie, il tasso di superamento dei test di sicurezza è del 56%, contro il 55% del primo rapporto: circa il 44% dei compiti produce ancora una falla nota. Il miglior modello del campione, GPT-5.5, arriva al 68%, e sei degli undici modelli testati per la prima volta si collocano tra il 50% e il 53%.
Tre convinzioni diffuse non reggono ai dati:
- I modelli specializzati nel codice non sono più sicuri: tasso di superamento del 51%, contro il 52% dei modelli generalisti.
- La dimensione conta poco: 53% per i modelli sopra i 100 miliardi di parametri, 51% per gli altri.
- Il ragionamento aiuta un poco: 56% per i modelli di ragionamento, 51% senza.
Dove si rompe
I divari dipendono soprattutto dal tipo di falla. I modelli gestiscono bene le SQL injection (83% di superamento) e scelgono algoritmi crittografici solidi (87%). Falliscono sul cross-site scripting (15%) e sulla log injection (12%), due falle che richiedono di seguire il percorso dei dati nell'applicazione. Java resta di gran lunga il linguaggio più a rischio, con un tasso medio di superamento del 30% nell'edizione 2026, anche se è l'unico a migliorare in modo netto.
La velocità, l'altro punto cieco
Uno studio controllato randomizzato condotto da METR all'inizio del 2025 ha misurato un rallentamento del 19% tra 16 sviluppatori open source esperti che usavano l'IA su 246 compiti reali (METR). Prima dello studio si aspettavano un'accelerazione del 24%; dopo, credevano comunque di aver guadagnato il 20%.
A febbraio 2026 METR ha pubblicato i risultati di un secondo studio che copre 57 sviluppatori e oltre 800 compiti (METR). I compiti con IA consentita hanno richiesto un tempo stimato inferiore del 18% per gli sviluppatori già presenti nel 2025 e del 4% per i nuovi, con intervalli di confidenza che includono ancora un rallentamento. Lo stesso METR definisce il risultato inaffidabile: molti sviluppatori si sono rifiutati di lavorare senza IA, il che probabilmente sottostima il guadagno reale.
Cosa cambia per gli sviluppatori
- Rivedere e testare il codice generato resta essenziale, a cominciare da input utente, output HTML e log.
- Mettere l'analisi dentro il ciclo dell'agente: strumenti come Sonar con Gitar controllano il codice mentre l'agente lo scrive, non solo alla fine della pipeline (vedere il nostro articolo).
- Scegliere i modelli anche per la sicurezza: il divario tra un tasso di superamento del 50% e uno del 68% si traduce direttamente in lavoro di correzione.
- Misurare prima di estendere: i guadagni vengono da come è organizzato il lavoro, non solo dallo strumento.
I limiti
Veracode testa modelli grezzi, senza agenti, protezioni né revisione umana (comunicato stampa): in produzione questi livelli riducono il rischio. Veracode vende inoltre strumenti di analisi del codice. Gli studi di METR riguardano sviluppatori open source esperti che lavorano sui propri repository, un contesto che non rappresenta l'intera professione.
Fonti: Veracode, 2025 GenAI Code Security Report; Veracode, 2026 GenAI Code Security Report, 28 luglio 2026; METR, luglio 2025; METR, febbraio 2026.
Avete notato un errore in questo articolo? Segnalatelo · La nostra politica sulle correzioni
