一句话看懂：Veracode 最新报告显示，AI 生成代码的安全性一年来首次出现明显改善，漏洞检出率从 44% 降至 38%，Anthropic 的 Claude Opus 5.5 和 OpenAI 的 GPT-6-Sol 以 73% 的安全通过率并列榜首。但复杂安全推理场景仍是短板，AI 代码上线前仍需独立安全测试。
事件核心：发生了什么
根据安全公司 Veracode 于 2026 年 10 月发布的 GenAI Code Security 报告，研究人员在 Python、C#、JavaScript 和 Java 四种语言上测试了 18 个 AI 模型，覆盖 CWE-89、CWE-327、CWE-80、CWE-117 四类常见弱点。结果显示，AI 生成代码的整体安全评分从 56% 提升到 62%，漏洞率从 44% 降至 38%，这是自 2025 年 7 月该系列报告启动以来首次出现可观测的改善。
在模型排名上，Claude Opus 5.5 与 GPT-6-Sol 均达到 73% 的安全通过率，超过此前 GPT-5.5 保持的 68% 纪录。得分达到 60% 以上的模型从上一轮的 4 个增加到 10 个，但榜尾仍有模型停留在 44% 至 50% 区间。
为什么重要
这组数据给“AI 写代码是否可靠”的讨论提供了一个可量化的阶段性答案：模型写出的代码在功能层面已接近完美，安全层面却长期原地踏步，如今终于出现松动。Veracode 联合创始人 Chris Wysopal 表示，目前约一半代码由 AI 生成，安全指标的改善对行业有实际意义。
但报告也指出，进步主要来自跨站脚本（XSS）这一类漏洞，该类别通过率升至 18%，是数据集中变化最大的一项。Veracode 认为 XSS 是最容易通过模式识别修复的漏洞，而这恰是大模型擅长的方向。当任务需要跨多个函数进行数据流推理时，例如日志注入场景，模型的表现依然停滞。这说明当前提升更接近“摘低垂果实”，而非安全推理能力的全面突破。
对用户/开发者/创作者的影响
对开发者而言，最直接的结论是：选用最强模型不等于得到最安全的代码。Veracode 指出，安全表现最好的模型往往也是规模化运行成本最高的，但它们仍有超过四分之一的安全任务失败。报告建议，用安全通过率约 60% 的中端模型配合 Veracode 扫描，比直接使用 73% 通过率的前沿模型而不做验证，更准确、更具成本效益，也更适合规模化部署。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
对企业采购和 AI 应用团队来说，这意味着安全扫描工具不应被视为可选项。无论模型排名如何变化，将 AI 生成代码纳入持续、独立的安全验证流程，仍是上线前的必要环节。
值得关注的后续
第一，XSS 之外的高难度类别能否改善，尤其是需要多函数数据流推理的日志注入等场景，将决定这轮进步是可持续趋势还是单点波动。第二，中端模型配合扫描工具的组合能否在真实开发流程中被验证为更优方案，可能影响企业的模型选型和采购策略。第三，各模型厂商是否会在后续版本中针对性补强安全推理能力，以及这类第三方评测结果是否会推动行业形成更统一的安全基线。
来源：TechRadar
