Почему мой сканер безопасности не обнаруживает тот класс уязвимостей, который чаще всего указывает мой ИИ-помощник?
Возможность
Согласно отчету Veracode «GenAI Code Security Report 2026», помощники по программированию на базе ИИ создают уязвимости в безопасности в 44–72 % задач генерации кода в зависимости от языка программирования. Существующие инструменты SAST были разработаны и настроены с учетом шаблонов кода, написанного людьми; они не моделируют повторяющиеся, специфичные для конкретной модели сигнатуры уязвимостей, которые генерирует тот или иной инструмент ИИ. В июле 2026 года в рамках сравнительного межмодельного исследования, опубликованного на arXiv, было установлено, что различные большие языковые модели (LLM) концентрируют риски в предсказуемых, четко разграниченных классах CWE в совершенно несвязанных кодовых базах, а современные сканеры не располагают профилями с учетом особенностей конкретных моделей, позволяющими использовать эту закономерность. В 2026 году компания Endorlabs подтвердила, что сканеры с фиксированными шаблонами пропускают уязвимости, зависящие от межфайлового контекста, а именно в этом и заключаются наиболее частые сбои кода, сгенерированного ИИ. На сегодняшний день ни один сканер производственного уровня не поставляется с профилями, привязанными к модели, сгенерировавшей код.
Почему это важно
Сканер, способный определить, какая модель создала файл, может предсказать и сосредоточиться на том классе уязвимостей, который эта модель с высокой вероятностью генерирует в избыточном количестве, превращая статистическую закономерность в преимущество при точном обнаружении.
Как я оцениваю возможность
Оценка возможности отражает моё личное суждение, а не точное измерение: насколько проблема болезненна, как часто она встречается и насколько мало существует решений сегодня. Чем выше оценка, тем более достойной реализации я считаю эту задачу.
Насколько серьёзные проблемы это создаёт.
Как часто люди с этим сталкиваются.
Насколько мало хороших инструментов для этого существует сегодня.
Ещё задачи, достойные решения
Почему программное обеспечение, от которого мы зависим больше всего, так неудобно использовать?
TechПочему я по-прежнему не владею ни одними из данных, которые генерирую?
TechThis is a fundamental limitation of how most data deletion works today, and it comes down to a few core problems: **Deletion is an absence, not a presence** A receipt is a positive artifact -- proof that something *happened*. Proving a negative ("this data no longer exists anywhere") is cryptographically and architecturally much harder than proving a positive ("this file was signed at time T"). **No standard audit trail** Most systems are not built to emit a verifiable, tamper-proof log of what was deleted, when, and from which storage layer. Even if a company tells you "your data was deleted," that statement lives in their system, which they control. **Backups and replication** Data often lives in dozens of places: primary DBs, read replicas, backups, logs, caches, CDN edge nodes, analytics pipelines. A deletion receipt would need to account for all of them -- and companies rarely track this end-to-end. **No legal requirement to provide one** GDPR Article 17 gives you the right to erasure, and Article 19 requires notification to recipients -- but neither mandates a cryptographically verifiable receipt. Companies only have to confirm deletion, not *prove* it in a way you can independently verify. **Technical proof would require architectural changes** A trustworthy receipt would need something like: a Merkle-tree deletion proof, a signed timestamp from an independent witness, and a commitment scheme proving the original data existed before deletion. Almost no consumer product is built this way. The gap here is a policy and incentive problem as much as a technical one -- companies have little motivation to build verifiable deletion infrastructure when regulators don't require it.
TechПочему я не могу знать, соответствует ли то, что запущено, тому, что задекларировано в моём SBOM?
TechПочему мой ИИ-агент без предупреждения направляет европейские медицинские данные через сервер в США?
TechПочему каждая цепочка происхождения C2PA разрывается в тот момент, когда контент попадает в социальные сети?