Kto sprawdza kod po AI?

Najnowsze modele AI programują i dostarczają coraz lepiej i szybciej. Rozumieją całe repozytoria, rozwiązują trudne taski, naprawiają błędy i generują kod w tempie, którego ludzie nie są w stanie dotrzymać.

Jest tylko jeden problem, który rośnie równie szybko - zdolność do weryfikacji, czy ten kod jest bezpieczny. W różnych benchmarkach oraz badaniach (np. Veracode) obejmujących m.in. najnowsze generacje modeli GPT, Claude i Gemini średni security pass rate nadal oscylował w okolicach 55%. Nie oznacza to oczywiście, że 45% kodu pisanego przez AI jest podatne. Oznacza to jednak, że nawet najlepsze i najnowsze modele generują rozwiązania, które działają funkcjonalnie, ale nie spełniają wymagań bezpieczeństwa. Nawet jeśli odrzucimy marketingowy szum dostawców skanerów kodu to mamy jeszcze organizacje jak OWASP, które potwierdzają ten problem. Modele nie rozumieją pełnego kontekstu architektonicznego i generują luki (np. w autoryzacji), które wyglądają na idealnie napisany kod.

I tu zaczyna się robić ciekawie. Bo i jeśli developer dzięki AI może produkować 3-5x więcej kodu, ale przepustowość zespołów security nie rośnie w tym tempie, to powstaje gigantyczna luka. Pamiętam czasy jak bottleneckiem było pisanie kodu, teraz jest zaufanie do wygenerowane kodu, którego nikt nie jest w stanie w 100% przeglądnąć dokładnie. Czy rozwiązaniem jest kolejna fala skanerów SAST, czy potrzebujemy nowych warstw weryfikacji w SDLC (np. dedykowanych agentów security)?

Jak to wygląda u Was przy pracy z Cursorem czy Claude Code - gdzie najbardziej "korkuje" się proces?

Źródła: OWASP, Veracode GenAI Code Security Report 2026