Ваш ИИ ошибался, ошибается и будет ошибаться. Гонка ИИ-вооружений — как LLM вносят уязвимости в код и как другие LLM их находят.

ИИ-агенты могут создавать уязвимости в коде из-за отсутствия проверки на NULL, сериализации через pickle без валидации и логики базы данных, не защищенной от SQL-инъекций.
Аудит безопасности и код-ревью ранее искали иголку в стоге сена, но с нынешней скоростью написания кода с помощью ИИ-агентов и количества строк, которые необходимо проверять, классическая кучка сена стала сеном на скоростном конвейере.
LLM, которые плодят уязвимости, и LLM, которые их находят, могут оказаться продуктами одних и тех же компаний.
Масштабы бедствия: не «может быть», а «скорее всего».
Группа исследователей под руководством Пирса в 2022 году протестировала GitHub Copilot на 89 сценариях, релевантных CWE Top 25.
40% сгенерированного кода уязвимо.
В 2023 году была проведена репликация исследования, и процент уязвимых предложений кода снизился до 27,25%.
В 2025 году Veracode протестировал более ста LLM на четырех языках.
45% кода уязвимы.
ИИ в целом хорошо справился с SQL-инъекциями, но крайне плохо с XSS и Log Injection.
Размер не имеет значения (фух, ну хоть здесь).
Увеличение количества параметров модели (от <20B до >100 B) практически не влияет на безопасность генерируемого кода.