Gli LLM stanno diventando sempre più intelligenti, ma non più sicuri: il 2026 GenAI Code Security Report di Veracode rivela che la sicurezza del codice generata dall'AI è ferma alla percentuale di superamento del 56%

Veracode , il leader globale nella gestione del rischio applicativo, oggi ha rilasciato il suo 2026 GenAI Code Security Report (Rapporto 2026 sulla sicurezza del codice della GenAI), secondo il quale nonostante i rapidi progressi nelle capacità di codifica dell'AI, la sicurezza è rimasta indietro. In quattro immagini di prova e oltre 100 modelli tracciati fin dagli inizi del programma, la percentuale media di superamento della sicurezza si ferma al 56%, virtualmente invariata rispetto al rapporto dell'anno scorso. Ogni modello veniva valutato a partire da task di generazione di codici che comprendeva diverse lingue di programmazione e categorie di vulnerabilità, in condizioni standardizzate, senza prompting specifico per la sicurezza. L'AI ora genera circa metà di tutto il codice impegnato , ma il divario della sicurezza non si sta stringendo.

Questo comunicato stampa include contenuti multimediali. Visualizzare l’intero comunicato qui: https://www.businesswire.com/news/home/20260728173290/it/

Fig. 1: The GenAI Code Security Report Leaderboard: Summer 2026

Il contrasto è drammatico: i modelli generano codice compilabile a una percentuale di superamento della sintassi quasi universale pari a quasi il 100%. Quando si tratta di sicurezza, falliscono quasi il 44% delle volte quando non ricevono indicazioni specifiche a riguardo.

“Mentre aumenta la velocità del codice basato sull'AI, gli sviluppatori vengono inondati di rischi di conformità, avvisi di sicurezza e problemi di sicurezza”, ha dichiarato Chris Wysopal, Cofondatore e Chief Security Evangelist di Veracode. “Stiamo assistendo a un rapido aumento dell'adozione di strumenti basati sull'AI per scrivere codici e realizzare software. Ma il problema di base rimane: i modelli possono essere quasi sintatticamente perfetti, ma falliscono ancora quasi metà di tutti i task che richiedono sicurezza. Questo indice dovrebbe essere un campanello d'allarme per qualsiasi organizzazione”.

Classifica del rapporto sulla sicurezza del codice GenAI: estate 2026

GPT-5.5 di OpenAI guida il rapporto di quest'anno al 68%, mentre sei degli 11 modelli si raggruppano tra il 50% e il 53%. Qwen3.7-max di Alibaba si posiziona ultimo al 50%, generando un codice vulnerabile in un risultato su due in questo test. Il migliore modello disponibile oggi non supera ancora quasi un task di sicurezza su tre. Da notare che le precedenti edizioni del rapporto erano dominate da modelli di AI occidentali. Non è più così: con Kimi-K2.6 e MiMo-V2.5 che superano diversi modelli occidentali. Per i team di sicurezza aziendali, l'origine del modello è un ulteriore fattore de cui tenere conto nelle decisioni di acquisto, assieme alla percentuale di superamento dei test di sicurezza.

I modelli creati per la codifica e gli LLM più grandi non sono sicuri

Due ipotesi ampiamente diffuse non sono confermate dai dati. La prima è che i modelli realizzati specificamente per la scrittura di codice software non sono più sicuri dell'AI generica. I modelli specializzati nella programmazione hanno registrato in media una percentuale di superamento dei test di sicurezza del 51%, rispetto al 52% dei modelli generici. I test sono stati eseguiti su modelli grezzi e non su agenti o ambienti di produzione dotati di strumenti aggiuntivi, misure di protezione o revisione umana nel ciclo. Questo significa che gli sviluppatori che scelgono strumenti ottimizzati per la programmazione, partendo dall'idea che ridurranno al minimo i rischi per la sicurezza, stanno in realtà distribuendo codice vulnerabile con la stessa frequenza di chiunque altro.

La seconda, che le dimensioni dei modelli non hanno un impatto sulle prestazioni della sicurezza. I grandi modelli (oltre 100 miliardi di parametri) raggiungono in media il 53%, i modelli medi il 51%, e i piccoli modelli il 51%. L'unico fattore architettonico utile: i modelli ragionanti mantengono un vantaggio di sicurezza coerente rispetto ai modelli non ragionanti, con una percentuale del 56% rispetto al 51%. Questo suggerisce che le funzioni di ragionamento esteso fungono da forma di revisione interna del codice.

Java è ancora l'ultima, ma si sta muovendo nella direzione giusta

Gli indici di superamento del test di sicurezza secondo il linguaggio vanno dal 63% di Python al solo 63% di Java. Java rimane di gran lunga il linguaggio più rischioso per la generazione di codice per l'AI. Nonostante le prestazioni non ottimali, è l’unico linguaggio ad aver registrato un trend di crescita chiaro e costante nell’ultimo anno.

“Ho espresso apertamente la mia opinione sul rendere modelli avanzati di intelligenza artificiale, come Claude Fable e Mythos, disponibili sia agli sviluppatori che ai difensori, e rimango della stessa opinione”, ha concluso Wysopal. “La risposta giusta non è limitare l'accesso, ma è la sicurezza trasparente e basata sull'evidenza. Ciò che questo studio mette in evidenza è il fatto che il codice generato dall'AI deve essere trattato come un codice non revisionato: da scansionare, riparare e mai inviare alla cieca. Finché i modelli di linguaggio di grandi dimensioni (LLM) non ragioneranno sulla sicurezza con la stessa logica con cui ragionano sulla sintassi, le misure di sicurezza nel flusso di lavoro di sviluppo non saranno opzionali”.

La gestione del rischio nell'era dell'AI

Veracode raccomanda alle organizzazioni di intraprendere le seguenti azioni per affrontare il divario della sicurezza nel codice generato dall'AI:

• Integrare strumenti su base AI, come Veracode Fix nei flussi di lavoro degli sviluppatori per rimediare ai rischi di sicurezza in tempo reale.
• Incorporare la sicurezza nei flussi di lavoro agentico per applicare automaticamente gli standard di programmazione sicura.
• Utilizzare Software Composition Analysis (SCA) per rilevare vulnerabilità da terze parti e dipendenze open-source nel codice generato dall'AI.
• Distribuire Package Firewall per bloccare pacchetti vulnerabili, nocivi o non conformi prima che raggiungano l'ambiente di sviluppo.

Per scaricare il 2026 GenAI Code Security Report completo, visitare il sito web di Veracode . I partecipanti al Black Hat di Las Vegas il 4-7 agosto prossimo sono invitati a visitare lo stand n. 4927 per saperne di più sulla sicurezza del codice AU e sui risultati del rapporto.

Informazioni su Veracode

Veracode è un leader globale nella gestione del rischio applicativo per l'era dell'AI. Basata su trilioni di linee di scansioni di codici e su un motore proprietario di recupero assistito dall'AI, la piattaforma Veracode offre sicurezza software adattiva ed è la scelta a cui si affidano le organizzazioni di tutto il mondo per realizzare e mantenere la sicurezza del software, dalla creazione di codici all'implementazione sul cloud. Migliaia dei team di sviluppo e sicurezza più importanti al mondo utilizzano Veracode ogni secondo di ogni giorno per ottenere visibilità accurata e fruibile sui rischi utilizzabili, rimediare in tempo reale alle vulnerabilità e ridurre i problemi di sicurezza su larga scala. Veracode è una società pluripremiata che offre capacità in grado di tutelare l'intero ciclo di vita di sviluppo del software grazie a prodotti come Veracode Fix, Static Analysis, Dynamic Analysis, Software Composition Analysis, Container Security, Application Security Posture Management, Malicious Package Detection, Package Firewall e Penetration Testing.

Per saperne di più visitare il sito web www.veracode.com e il blog di Veracode , oppure seguire l'azienda su LinkedIn e X .

Copyright © 2026 Veracode, Inc. Tutti i diritti riservati. Veracode è un marchio registrato di Veracode, Inc. negli Stati Uniti e potrebbe essere registrato in altre giurisdizioni. Tutti gli altri nomi di prodotti, marchi o loghi sono di proprietà dei rispettivi titolari. Tutti gli altri marchi citati nel presente documento sono di proprietà dei rispettivi titolari.

Il testo originale del presente annuncio, redatto nella lingua di partenza, è la versione ufficiale che fa fede. Le traduzioni sono offerte unicamente per comodità del lettore e devono rinviare al testo in lingua originale, che è l'unico giuridicamente valido.

Vedi la versione originale su businesswire.com: https://www.businesswire.com/news/home/20260728173290/it/

Stampa e media
Katy Gwilliam
Responsabile delle comunicazioni globali, Veracode
[email protected]

La responsabilità editoriale e i contenuti di cui al presente comunicato stampa sono a cura di Business Wire