86% коду ШІ — вразливі: прихована загроза для Дії

Звіт «Стан безпеки програмного забезпечення (SoSS) 2026» від Veracode фактично проголошує кінець епохи, коли ми могли сподіватися на «повне виправлення» всіх помилок у коді. Головний висновок документа: людство програє «гонку озброєнь» проти вразливостей через занадто високу швидкість розробки.

Поки Україна звітує про успіхи у сфері ШІ та швидкості інтернету, борг безпеки (security debt) стає невидимою загрозою, яка накопичується швидше, ніж ми встигаємо її усувати.

«Вразливості в High-Risk Region представляють тривожну концентрацію небезпечних, зброєпридатних вад, готових до негайного використання зловмисниками», – кажуть аналітики Veracode.

Борг безпеки: токсична спадщина

Центральним поняттям звіту є security debt (борг безпеки) — це вразливості, які залишаються невиправленими понад рік.

• Масштаб проблеми: 82% організацій уже накопичили такий борг. Це означає, що переважна більшість компаній працює на «мінному полі» з власних старих помилок.

• Критична концентрація: у 60% організацій цей борг є критичним. Тобто йдеться не про дрібні баги, а про вади, які дозволяють повністю скомпрометувати систему.

• Ілюзія прогресу: хоча середня швидкість виправлення (half-life) покращилася на 9 днів (до 243 днів), це жодним чином не компенсує 20% зростання кількості нових критичних дірок.

Штучний інтелект – каталізатор хаосу

ШІ у 2026 році став «двосічним мечем». З одного боку, він допомагає писати код швидше, з іншого — робить його менш безпечним.

Якість AI-коду: 86% коду, згенерованого нейромережами, містять вади типу XSS (Cross-Site Scripting). ШІ копіює патерни з відкритих джерел, часто ігноруючи безпековий контекст. Тому незрозуміло, як Мінцифра контролює безпеку коду, створеного за допомогою ШІ для державних продуктів (Дія, Мрія), щоб не допустити зростання «боргу безпеки» в критичній інфраструктурі.

Швидкість накопичення: оскільки ШІ генерує тисячі рядків коду за секунди, команди безпеки просто не встигають його перевіряти, що призводить до вибухового зростання боргу.

Ланцюг постачання та «зброєпридатність»

Звіт підсвічує перехід від «теоретичних вразливостей» до реальних інструментів атаки.

• Weaponized vulnerabilities: кількість вразливостей, які легко перетворити на експлойт (зброю), зросла на 36%. Зловмисникам тепер не потрібно шукати складні шляхи — «двері» часто вже відчинені.

• Чужий код: 66% критичного боргу приходить із «стороннього коду» (бібліотеки, Open Source, партнерські модулі). Організації стають заручниками безпеки своїх постачальників.

Порівняльна динаміка (2025 vs 2026)

Дані показують, що розрив між безпекою та розробкою лише збільшується:

Стратегія виживання

Автори звіту закликають відмовитися від спроб «виправити все». Нова стратегія (ASPM) передбачає:

1. Фокус на High-Risk Region. Виправляти лише те, що реально може бути використано для атаки.

2. Валідація людиною. ШІ може генерувати патчі (як Veracode Fix), але лише людина здатна зрозуміти, чи не зламає цей патч бізнес-логіку системи.

3. Мораторій на дрібниці. Усвідомлене ігнорування некритичного боргу заради порятунку «найцінніших активів» (Crown Jewels).

Цей звіт є попередженням: у 2026 році безпека — це не стан відсутності вразливостей, а безперервний процес управління «токсичними відходами» власної розробки.