Segurança
Código gerado por IA: uma falha conhecida em 45% das tarefas
O 2025 GenAI Code Security Report da Veracode e um estudo da METR lembram que velocidade não basta sem uma mudança de método.
Segundo o 2025 GenAI Code Security Report da Veracode, em 45% das tarefas de geração de código testadas (80 tarefas, mais de 100 modelos), o modelo introduziu uma falha de segurança conhecida do OWASP Top 10. O código quase sempre compila; só é seguro em pouco mais da metade dos casos.
Um ano depois, nada mudou
A edição de 2026, publicada em 28 de julho, confirma o teto (Veracode). Entre todos os modelos acompanhados desde o início da série, a taxa de aprovação em segurança é de 56%, contra 55% no primeiro relatório: cerca de 44% das tarefas ainda produzem uma falha conhecida. O melhor modelo da amostra, o GPT-5.5, chega a 68%, e seis dos onze modelos testados pela primeira vez ficam entre 50% e 53%.
Três suposições comuns não resistem aos dados:
- Modelos especializados em programação não são mais seguros: 51% de aprovação, contra 52% dos modelos de uso geral.
- O tamanho quase não importa: 53% para modelos com mais de 100 bilhões de parâmetros, 51% para os demais.
- O raciocínio ajuda um pouco: 56% para modelos de raciocínio, 51% sem ele.
Onde falha
As diferenças dependem sobretudo do tipo de falha. Os modelos lidam bem com injeção de SQL (83% de aprovação) e escolhem algoritmos criptográficos sólidos (87%). Falham em cross-site scripting (15%) e em injeção em logs (12%), duas falhas que exigem acompanhar como os dados circulam pela aplicação. Java continua sendo, de longe, a linguagem mais arriscada, com taxa média de aprovação de 30% na edição de 2026, embora seja a única que melhora de forma clara.
Velocidade, o outro ponto cego
Um ensaio controlado randomizado conduzido pela METR no início de 2025 mediu uma lentidão de 19% entre 16 desenvolvedores experientes de código aberto que usavam IA em 246 tarefas reais (METR). Antes do estudo, esperavam um ganho de velocidade de 24%; depois, ainda acreditavam ter ganhado 20%.
Em fevereiro de 2026, a METR publicou os resultados de um segundo estudo, com 57 desenvolvedores e mais de 800 tarefas (METR). As tarefas com IA permitida levaram, segundo as estimativas, 18% menos tempo para os desenvolvedores que voltavam de 2025 e 4% menos para os novos, com intervalos de confiança que ainda incluem uma lentidão. A própria METR considera o resultado pouco confiável: muitos desenvolvedores se recusaram a trabalhar sem IA, o que provavelmente subestima o ganho real.
O que muda para os desenvolvedores
- Revisar e testar o código gerado continua essencial, começando pelas entradas do usuário, pela saída HTML e pelos logs.
- Coloque a análise dentro do ciclo do agente: ferramentas como Sonar com Gitar verificam o código enquanto o agente o escreve, e não apenas no fim do pipeline (veja nosso artigo).
- Escolha os modelos também pela segurança: a diferença entre 50% e 68% de aprovação se traduz diretamente em trabalho de correção.
- Meça antes de implantar: os ganhos vêm da forma como o trabalho é organizado, não só da ferramenta.
Os limites
A Veracode testa modelos brutos, sem agentes, salvaguardas nem revisão humana (comunicado de imprensa): em produção, essas camadas reduzem o risco. A Veracode também vende ferramentas de análise de código. Os estudos da METR abrangem desenvolvedores experientes de código aberto trabalhando em seus próprios repositórios, um contexto que não representa toda a profissão.
Fontes: Veracode, 2025 GenAI Code Security Report; Veracode, 2026 GenAI Code Security Report, 28 de julho de 2026; METR, julho de 2025; METR, fevereiro de 2026.
Encontrou um erro neste artigo? Avise-nos · Nossa política de correções
