Tại sao trình quét bảo mật của tôi bỏ sót lớp lỗ hổng mà trợ lý AI của tôi tạo ra nhiều nhất?

Các trợ lý lập trình AI đưa ra lỗ hổng bảo mật trong 44 đến 72 phần trăm các tác vụ tạo mã tùy thuộc vào ngôn ngữ, theo Báo cáo Bảo mật Mã GenAI 2026 của Veracode. Các công cụ SAST hiện có được thiết kế và tinh chỉnh dựa trên các mẫu mã do con người viết; chúng không mô hình hóa các chữ ký lỗ hổng lặp lại, đặc thù theo từng mô hình mà một công cụ AI cụ thể tạo ra. Một nghiên cứu so sánh đa mô hình trên arXiv vào tháng 7 năm 2026 phát hiện rằng các LLM khác nhau tập trung rủi ro vào các lớp CWE có thể dự đoán được và khác biệt trên các cơ sở mã hoàn toàn không liên quan, và các trình quét hiện tại không có hồ sơ nhận biết mô hình để khai thác tính đều đặn này. Endorlabs đã xác nhận vào năm 2026 rằng các trình quét theo mẫu cố định bỏ sót các lỗi phụ thuộc vào ngữ cảnh đa tệp, đây chính xác là nơi mã do AI tạo ra thường thất bại nhất. Không có trình quét cấp độ sản xuất nào hiện nay đi kèm hồ sơ được liên kết với mô hình đã tạo ra mã đó.