Test Sicurezza KI: Modelli Falliscono al 44%

Veracode ha pubblicato il suo rapporto 2026 sulla sicurezza del codice generato dall'intelligenza artificiale, rivelando che i modelli linguistici superano in media solo il 56% dei test di sicurezza. Questo dato, calcolato su quattro diverse misurazioni, rappresenta un miglioramento minimo rispetto al 55% registrato nel primo rapporto del 2025. La Provimedia GmbH, specializzata in soluzioni di sicurezza per il codice, analizza queste preoccupanti statistiche nel suo pacchetto di controllo Code Guardian per Claude Code e Codex.

Cosa Misura il Report Veracode e Cosa Non Misura

Veracode, che vende strumenti di analisi statica del codice, utilizza la propria tecnologia per valutare il prodotto generato dai modelli di IA. Secondo l'aggiornamento di primavera 2026, ogni modello completa una funzione in Java, JavaScript, C# o Python basandosi su un commento. La funzione può essere implementata in modo sicuro o insicuro. Il rapporto di luglio 2026 ha testato undici nuovi modelli su ottanta compiti. Secondo Veracode, sono stati testati i modelli puri, non agenti o ambienti di produzione con controlli aggiuntivi o revisioni umane. Il benchmark descrive quindi il comportamento di un modello senza indicazioni di sicurezza, non il codice che le aziende effettivamente distribuiscono.

Perché il Codice è Sintatticamente Più Pulito ma Non Più Sicuro?

Secondo Veracode, i modelli generano ora quasi sempre un codice sintatticamente corretto. Tuttavia, il tasso di sicurezza nel rapporto di aggiornamento di primavera 2026 era di circa il 55%; due anni di nuove generazioni di modelli hanno fatto fatica a migliorare questo dato. Su tutte le misurazioni, il codice generato conteneva una vulnerabilità nota in circa il 44% dei casi. Veracode cita come motivi i dati di addestramento con schemi storicamente insicuri e un addestramento che premia la correttezza funzionale. Codice sicuro e insicuro spesso producono lo stesso risultato con input normali, quindi la differenza non viene notata durante i test di funzionalità.

Vulnerabilità più Comuni nei Modelli di IA

Le analisi di Veracode hanno rivelato alcune vulnerabilità ricorrenti nei codici generati dagli strumenti di IA. Le più comuni includono:

• Cross-Site Scripting (XSS): presente nel 37% dei codici generati
• Iniezione di Log: riscontrata nel 29% dei casi
• Iniezione SQL: presente nel 68% dei codici generati
• Broken Access Control: rilevata nel 23% dei casi

Performance dei Singoli Modelli

Nonostante i medi deludenti, alcuni modelli hanno mostrato prestazioni migliori rispetto ad altri. Il rapporto classifica i modelli in base alla loro capacità di generare codice sicuro:

• Il modello migliore ha superato circa il 72% dei test di sicurezza
• Il modello peggiore ha raggiunto solo il 31% di tasso di successo
• La maggior parte dei modelli si è posizionata tra il 45% e il 65%

Implicazioni per lo Sviluppo del Software

Questi risultati hanno implicazioni significative per lo sviluppo del software moderno. Con l'aumento dell'uso degli strumenti di IA nella programmazione, le aziende affrontano nuove sfide di sicurezza. Il codice generato dall'IA può introdurre vulnerabilità anche quando sembra funzionare correttamente. Gli sviluppatori devono quindi adottare approcci più rigorosi per verificare la sicurezza del codice prodotto dall'IA, integrando strumenti di analisi statica e test dinamici nei loro flussi di lavoro.

Strategie per Migliorare la Sicurezza del Codice IA

Per affrontare queste sfide, Veracode e altri esperti raccomandano diverse strategie:

• Incorporare indicazioni di sicurezza specifiche nei prompt per gli strumenti di IA
• Utilizzare strumenti di analisi statica per scansionare il codice generato
• Sviluppare framework di test specifici per rilevare vulnerabilità comuni nei codici IA
• Formare gli sviluppatori sulle best practice per l'uso sicuro degli strumenti di IA

Perspettive Future

Nonostante le preoccupazioni attuali, il rapporto di Veracode suggerisce che c'è spazio per migliorare. Mano a mano che i modelli di IA continuano ad evolversi, è probabile che vedremo progressi nella capacità di generare codice più sicuro. Tuttavia, questo richiederà un impegno concertato da parte degli sviluppatori di modelli, delle aziende che utilizzano strumenti di IA e della comunità di sicurezza informatica per stabilire standard e pratiche più rigorose.

Conclusioni

Il rapporto di Veracode del 2026 sottolinea una sfida significativa per l'industria tecnologica: mentre gli strumenti di IA diventano sempre più capaci di generare codice funzionale, la loro capacità di produrre codice sicuro rimane insufficiente. Con solo il 56% di successo medio nei test di sicurezza, è chiaro che gli sviluppatori non possono fare affidamento esclusivamente sugli strumenti di IA per la produzione di codice sicuro. Le aziende devono adottare un approccio olistico che combinino l'uso dell'IA con rigorosi controlli di sicurezza per proteggere le loro applicazioni e i loro dati.