# Studiu Veracode: 86% din codul generat de AI pică testele de securitate, dar companiile îl bagă direct în producție. 2026 e anul în care plătim toți factura

> Viteză amețitoare, riscuri invizibile Industria software trăiește un paradox. Niciodată nu am produs cod mai repede, dar niciodată nu am acumulat, poate, o datorie tehnică mai periculoasă. Anul 202...

Publicat: 12 februarie 2026, 20:40 · Actualizat: 12 februarie 2026, 20:41 · Autor: Liviu Barbu · Categorie: [Tehnologie](https://financiarul.ro/tehnologie/index.html.md) · Pagina web: https://financiarul.ro/tehnologie/studiu-veracode-86-din-codul-generat-de-ai-pica-testele-de-securitate-dar-companiile-il-baga-direct-in-productie-2026-e-anul-in-care-platim-toti-factura/ · Publicație: Financiarul

![](https://financiarul.ro/wp-content/uploads/2026/02/studiu-veracode-86-din-codul-generat-de-ai-pica-testele-de-securitate-dar-companiile-il-baga-direct-in-productie-2026-e-anul-in-care-platim-toti-factura-1024x666.png)

## Viteză amețitoare, riscuri invizibile

Industria software trăiește un paradox. Niciodată nu am produs cod mai repede, dar niciodată nu am acumulat, poate, o datorie tehnică mai periculoasă. Anul 2026 se conturează a fi scadența pentru o factură pe care mulți au ignorat-o: factura dezvoltării asistate de inteligență artificială, realizată fără controale de securitate adecvate. Dependența tot mai mare de unelte precum GitHub Copilot sau ChatGPT pentru generarea de cod, deși a adus câștiguri de productivitate spectaculoase, a plantat în tăcere o bombă cu ceas în fundația aplicațiilor noastre. Problema e că bomba ticăie tot mai tare.

Un avertisment recent, citat de publicația DarkReading, este tranșant: 2026 va fi anul datoriei tehnice generate de AI. Prognozele Forrester indică faptul că pentru 75% dintre companii, această datorie va atinge un nivel de severitate „moderat” sau „ridicat” încă din acest an, pe fondul expansiunii rapide a inteligenței artificiale. Logica de business pare impecabilă: presiunea de a livra mai mult, mai repede și cu mai puține resurse a făcut din asistenții AI un aliat indispensabil. Doar că factura reală vine mai târziu, sub forma vulnerabilităților de securitate ascunse în codul generat automat.

## Cifrele care ar trebui să ne îngrijoreze

Datele concrete sunt, sincer, alarmante. Un studiu Veracode, care a analizat peste 100 de modele lingvistice mari (LLM), a concluzionat că 45% din codul generat de AI conține vulnerabilități de securitate. Când li se oferă posibilitatea de a alege între o metodă sigură și una nesigură pentru a scrie cod, modelele AI o aleg pe cea nesigură în aproape jumătate din cazuri. Mai grav, cercetarea arată că, deși modelele devin mai bune la a scrie cod corect din punct de vedere sintactic, performanța lor în materie de securitate stagnează. Modelele mai noi și mai mari nu generează cod semnificativ mai sigur decât predecesoarele lor.

Alte surse confirmă tendința. Un raport menționează că aproape două treimi din soluțiile de cod produse de LLM-uri sunt fie incorecte, fie vulnerabile. O altă analiză a Panto AI Statistics din 2025 a găsit vulnerabilități în 48% din codul generat de AI. Limbajele de programare par a avea rate de eșec diferite, Java fiind cel mai riscant, cu o rată de peste 70%, în timp ce Python, C# și JavaScript înregistrează rate între 38% și 45%. Acestea nu sunt doar procente într-un raport. Sunt porți deschise pentru atacatori.

### De la „vibe coding” la datorie exponențială

A apărut un nou termen în industrie: „vibe coding”. Acesta descrie practica prin care dezvoltatorii se bazează pe intuiție și pe sugestiile rapide ale AI pentru a scrie cod, adesea fără a defini explicit cerințe de securitate. Viteza este seducătoare, dar costul este acumularea unei datorii tehnice care, spre deosebire de cea tradițională, nu crește liniar, ci exponențial. Datoria tehnică tradițională apare când se aleg scurtături conștiente. Datoria tehnică AI este mai insidioasă, fiind generată de o dependență oarbă de un colaborator care, deși productiv, nu are discernământ arhitectural sau de securitate.

Un studiu al GitClear pe 153 de milioane de linii de cod a confirmat o degradare accelerată a calității codului și o creștere exponențială a vulnerabilităților. Situația este agravată de fenomenul de „shadow AI”, unde jumătate dintre dezvoltatori folosesc unelte AI neaprobate de departamentele IT, reducând transparența în ciclul de viață al dezvoltării software (SDLC) și mărind riscurile. Consecințele pe termen lung sunt severe: costuri uriașe de refactorizare, pătarea reputației brandului și pierderea încrederii clienților.

## Anatomia riscului: ce greșește, concret, inteligența artificială?

Dar de ce este codul generat de AI atât de problematic? Răspunsul stă în natura procesului de învățare. Modelele lingvistice sunt antrenate pe miliarde de linii de cod din depozite publice, precum GitHub. O parte semnificativă din aceste date de antrenament conține, inevitabil, bug-uri, vulnerabilități și practici de codare învechite. AI-ul replică aceste tipare fără a avea contextul necesar pentru a distinge între o practică sigură și una periculoasă.

Organizația non-profit OWASP (Open Web Application Security Project) a creat chiar un top 10 al celor mai critice riscuri de securitate specifice aplicațiilor bazate pe LLM-uri. Printre acestea se numără:

- **Prompt Injection (LLM01):** Atacatorii manipulează inputul pentru a face modelul să execute acțiuni neintenționate.
- **Insecure Output Handling (LLM02):** Eșecul de a valida outputul modelului poate duce la vulnerabilități precum Cross-Site Scripting (XSS) sau SQL Injection în sistemele care consumă acest output. De altfel, studiul Veracode a arătat o rată de eșec catastrofală în prevenirea XSS, unde 86% din codul generat a fost nesigur.
- **Training Data Poisoning (LLM03):** Atacatorii pot introduce date malițioase în seturile de antrenament pentru a compromite securitatea modelului.
- **Supply Chain Vulnerabilities (LLM05):** Asistenții AI pot sugera utilizarea unor biblioteci sau pachete software cu vulnerabilități cunoscute (CVEs) sau chiar pot „halucina” pachete inexistente, pe care atacatorii le pot înregistra ulterior cu conținut malițios, o tehnică numită „package hallucination squatting”.
- **Sensitive Information Disclosure (LLM06):** Modelele pot dezvălui accidental date sensibile, precum chei API sau parole, pe care le-au „învățat” din datele de antrenament. Cercetările arată că depozitele de cod care folosesc Copilot au o rată de scurgere a secretelor cu 40% mai mare.

Pe lângă acestea, se adaugă o încredere nejustificată din partea dezvoltatorilor. Un studiu a relevat că programatorii care folosesc un asistent AI produc cod mai puțin sigur, dar, paradoxal, sunt mai încrezători în calitatea acestuia. Această iluzie a competenței este poate cel mai periculos efect secundar.

## Cum dezamorsăm bomba? Soluții practice pentru o datorie iminentă

Panica nu este o strategie. Interzicerea completă a uneltelor AI este nerealistă și contraproductivă. Cheia este adoptarea unei abordări mature, care îmbină viteza oferită de AI cu o cultură a securității riguroasă. Dezvoltatorii trebuie să privească AI-ul ca pe un colaborator care trebuie monitorizat îndeaproape, nu ca pe o entitate autonomă infailibilă. Ce înseamnă asta, concret?

### 1. Educație și scepticism sănătos

Primul pas este factorul uman. Companiile trebuie să investească în training pentru dezvoltatori, învățându-i să trateze orice linie de cod sugerată de AI ca pe un input neverificat, la fel cum ar trata codul scris de un coleg junior. Trebuie cultivate gândirea critică și abilitatea de a evalua sugestiile AI, nu doar de a le accepta orbește. Fără această schimbare de mentalitate, orice măsură tehnică este sortită eșecului.

### 2. Integrarea securității în fluxul de lucru (DevSecOps)

Securitatea nu mai poate fi un pas final, o verificare făcută înainte de lansare. Trebuie să fie integrată în fiecare etapă a ciclului de dezvoltare. Asta înseamnă utilizarea masivă a uneltelor automate de securitate:

- **Static Application Security Testing (SAST):** Aceste unelte analizează codul sursă pentru a găsi vulnerabilități înainte de compilare. Firme precum Veracode și Snyk oferă soluții care se integrează direct în mediile de dezvoltare (IDE) și în sistemele de versionare, scanând în timp real atât codul scris de om, cât și cel generat de AI.
- **Software Composition Analysis (SCA):** Verifică bibliotecile și pachetele open-source folosite într-un proiect pentru a detecta vulnerabilități cunoscute. Este esențial pentru a contracara riscul de vulnerabilități în lanțul de aprovizionare software.
- **Dynamic Application Security Testing (DAST):** Testează aplicația în timpul rulării pentru a identifica vulnerabilități care nu sunt vizibile în codul sursă.

Aceste verificări trebuie să devină porți obligatorii în procesul de integrare și livrare continuă (CI/CD), blocând automat codul care nu îndeplinește standardele de securitate.

### 3. Guvernanță și politici clare

Companiile nu își mai pot permite să ignore utilizarea necontrolată a uneltelor AI. Este nevoie de politici clare care să definească ce unelte sunt aprobate, cum trebuie configurate setările de confidențialitate (mai ales pentru a preveni antrenarea modelelor pe cod proprietar) și care sunt procedurile de audit. Gartner avertizează că proliferarea neadministrată a agenților AI creează noi suprafețe de atac și riscuri de conformitate.

Revoluția AI în dezvoltarea software este ireversibilă. Promisiunea unei productivități sporite este reală și valoroasă. Dar, ca orice salt tehnologic major, vine cu responsabilități pe măsură. Anul 2026 este un punct de inflexiune. Companiile care vor înțelege că AI este un asistent puternic, dar nu un expert în securitate, și care vor investi în procese, unelte și educație pentru a gestiona riscurile, vor reuși să inoveze sustenabil. Celelalte vor rămâne să plătească o datorie tehnică tot mai mare, cu dobânzi usturătoare sub formă de breșe de securitate, costuri de remediere și încredere pierdută. Factura a fost emisă. Depinde de fiecare dintre noi dacă o vom plăti la timp sau vom aștepta penalizările.