Secure Code Warrior 研究显示：AI 生成的代码平均每个代码库包含 15 个漏洞
.avif){kind=logo}
全新的 SCW AI 信任指数表明，AI 生成代码的风险并非随机，而是可以通过模型和框架进行预测，这为安全领导者提供了安全扩展 AI 辅助开发所需的数据
悉尼/波士顿/伦敦 – 2026 年 7 月 21 日 – Secure Code Warrior 作为 AI 软件治理和开发者安全技能提升领域的领导者，今日推出了 SCW AI 信任指数。这是一个随新模型不断更新的 AI 编码安全动态基准，旨在帮助企业理解并管控 AI 生成代码所带来的安全风险。该研究基于与 澳大利亚皇家墨尔本理工大学 (RMIT University) 共同建立的方法论，并由 Secure Code Warrior 进一步扩展，提供了关于主流大语言模型 (LLM) 生成不安全代码频率的全面基准，对每一家正在扩展 AI 辅助开发的企业都具有实质性影响。
基于对来自 OpenAI、Anthropic、Google、阿里巴巴等机构的 16 个前沿模型所生成的 1,760 个完整代码库的评估，研究结果显示，AI 生成的代码平均每个代码库包含 15 个已确认的漏洞，其中 4.3 个被视为“严重”漏洞。
随着开发者持续将代码生成任务委托给前沿大语言模型，安全领导者必须了解开发者所继承的安全风险，以及这些风险是否会因模型、框架或两者的交互而异。SCW AI 信任指数为 AI 生成代码的安全性带来了实证测量，提供了一个随新模型出现而不断演进的动态基准，而非一次性的快照。
即日起，企业可以利用 SCW AI 信任指数，通过以下方式理解并降低 AI 驱动软件开发中的风险：
- 利用真实安全数据比较 AI 编码模型
- 识别反复出现的漏洞模式
- 通过实证数据量化 AI 生成代码的风险
“我们测试的每一个 AI 模型都会留下可预测、可重复的安全漏洞和弱点模式，”Secure Code Warrior 联合创始人兼首席执行官 Pieter Danhieux 表示。“开发者也是可预测的，他们不会仅仅因为安全评分就放弃自己偏好的模型。SCW AI 信任指数旨在帮助 CISO 和安全领导者管理正在使用的模型；虽然没有所谓的‘赢家’，但这些数据提供了真正安全管理 AI 工具所需的关键洞察，考虑到这些固有的安全缺口，并允许在现代化的安全计划中落实正确的护栏和开发者学习路径。AI 生成的代码需要我们一贯给予人工编写代码的同等审查，现在我们终于有了数据，可以确切地知道该从哪里着手。”
Secure Code Warrior 的研究表明，AI 生成代码的安全风险并非随机，而是可测量、可预测的，并且在不同的 AI 模型、框架和漏洞类型中呈现出一致的模式。主要发现包括：
- AI 生成的漏洞遵循可预测的模式，而非随机故障
- 在 1,760 个 AI 生成的代码库中，Secure Code Warrior 识别出 86 种独特的 CWE（通用缺陷枚举），最常见的弱点集中在日志记录失败、注入漏洞、不安全设计和访问控制失效等方面。最普遍的 CWE 是 CWE-532：在日志文件中插入敏感信息，共发现 8,543 个真阳性案例。这些反复出现的模式证明，AI 生成的安全风险是可测量、可重复且可以预见的。
- 每个 AI 模型都有独特的安全指纹
- 在所有评估的框架中，模型表现出的是反复出现的漏洞模式，而非随机故障。SCW AI 信任指数显示，每个模型都会产生可重复的 OWASP 漏洞类别组合，使企业能够预见安全弱点最可能出现的位置。
- 没有单一的 AI 模型能始终生成最安全的代码
- 模型性能会根据所使用的框架发生显著变化。GPT-5.1 在 Java Enterprise API 中领先，Claude Sonnet 4.5 在 Java Spring 中领先，Claude Opus 4.8 在 Python Django 中领先，GPT-5.5 在 C# (.NET) 中领先，而 Claude Fable 5 在 C 语言中领先。安全结果取决于模型和开发环境。
- 安全结果与模型成本无关
- 研究发现，API 成本与安全编码性能之间没有一致的关联。例如，GPT-5.1 以每次运行 5.60 美元的价格实现了最高的信任指数得分之一，而价格昂贵得多的模型却产生了较弱的安全结果。企业应根据可衡量的安全性能而非价格来评估 AI 模型。
SCW AI 信任指数通过帮助企业了解 AI 生成代码的行为、识别风险引入点，并使开发者从一开始就能编写更安全的代码，从而扩展了 Secure Code Warrior 的使命。通过结合 AI 可见性、治理和自适应开发者学习，Secure Code Warrior 帮助企业在不牺牲安全性的前提下，自信地扩展 AI 辅助软件开发。
欲查看完整研究结果，请访问：https://www.securecodewarrior.com/product/ai-trust-index
关于 Secure Code Warrior
Secure Code Warrior 是 AI 软件治理和开发者安全技能提升领域的领导者，助力企业管控整个软件开发生命周期 (SDLC) 中 AI 驱动的软件开发。凭借十年的开发者安全专业经验，它提供 AI 可见性、策略执行和针对性学习，以在生产前预防漏洞并提升软件质量。
联系方式
Andrea Brusig
andrea.brusig@w2comm.com
在 AI 驱动的开发成果发布前实现有效治理
评估 AI 辅助风险，在提交代码时强制执行安全编码策略，并加速整个软件开发生命周期的安全交付。
探索更多文章
获取有关安全编码、人工智能治理和软件风险管理的专家内容。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
Techstrong.ai：AI 治理的闹剧：有人在开发“关闭”开关吗？
Most people at their mid-career point (or later) have dealt with their share of employees who were “ungovernable” to some level. When they’re good at their job but otherwise a pain in the butt, the kinder term is usually to refer to them as a “diva”. If they’re middling at the role and ignore most senior instructions to boot, those people tend to be moved on to avoid further damage.
在产品发布前确保 AI 驱动的开发安全
洞察开发风险，执行安全策略，并在整个软件开发生命周期中预防漏洞。
