AI编写代码的速度，正快于安全团队的审查速度。由 ActiveState 赞助并参与的一项 Linux Foundation 新研究显示，58%的团队发布代码的速度已超过安全审查能够跟上的水平；与此同时，60%的受访者表示，AI 编程助手增加了其代码库中的外部软件包数量。但对于这些软件包引入的间接依赖，也就是“传递性依赖”，团队仅约一半时间会进行审查。
ActiveState 是这项新研究的赞助方和贡献方。该研究由 Open Source Security Foundation（OpenSSF）和 LF AI & Data Foundation 支持。ActiveState 于周一公布了《2026年AI对软件安全与网络安全影响现状》（State of AI Impact on Software Security and Cybersecurity 2026）的研究结果。研究称，AI 驱动的软件开发速度与组织保护所产出代码安全的能力之间，正出现不断扩大的差距。
研究称，随着 AI 同时加速代码生成和漏洞发现，这些挑战正变得更加紧迫，组织在攻击者利用安全缺陷之前识别并修复问题的时间越来越少。2026年10月的 PHP2Shell 漏洞凸显了这种紧迫性：漏洞披露后数小时内，就已发布紧急补丁，并报告了利用尝试。研究称，随着漏洞被识别和利用的速度不断加快，组织正面临越来越大的压力，必须确保安全审查、依赖项审核和修复工作能够跟上节奏。
这项调查覆盖了172名来自企业和开源项目的安全从业者。调查还发现，AI 也是解决方案的一部分，但伴随着一些权衡。受访者表示，在过去一年发现的漏洞中，有30%是借助 AI 辅助工具检测到的；69%的受访者称，这些工具显著改善了他们的安全态势。平均来看，AI 工具让安全工作提速17%，但漏洞误报使从业者的工作量增加了30%，这凸显出在 AI 带来的效率提升与有效安全监督之间需要取得平衡。
ActiveState 首席执行官 Abby Kearns 表示：“AI 编程助手不只是写代码，它们还会选择你的依赖项，而这项研究显示，团队对随之而来的内容只检查了大约一半。这与我们每周从客户那里听到的情况一致。放慢开发者速度并不能解决问题。答案是在代码进入代码库之前就决定哪些内容值得信任，这样开发者及其 AI 工具就能从安全团队已经批准的组件开始。”
其他主要发现包括：
- 技能面临风险。82%的受访者认同，过度依赖 AI 工具会削弱开发者的安全技能。
- 担忧超过准备程度。对于每一项被衡量的 AI 相关威胁，表示担忧的从业者都多于认为自己已做好准备的人。其中差距最大的是 AI 自动化漏洞利用生成和模糊测试，差值达到41个百分点。
- 供应链位居担忧清单首位。供应链攻击是安全专家最担心的问题，占比93%；其后是提示注入，占比90%；以及高频组件更新带来的维护负担，占比87%。
- 责任归属不清。只有30%的团队设有专门负责 AI 相关安全威胁的岗位，只有约三分之一的团队拥有涵盖 AI 的正式安全政策。
- 明确归属会带来回报。在设有专门 AI 安全岗位的团队中，75%表示自己已为针对 AI 系统的对抗性攻击做好充分准备；而在全部受访者中，这一比例为50%。
- 人工审查并非默认要求。在拥有 AI 安全政策的团队中，也只有57%要求对 AI 生成的代码进行人工审查。
研究称，这些发现共同表明，随着 AI 采用程度提高，需要更明确地界定安全责任，并加强治理。研究同时指出，设立专门岗位、制定清晰政策以及正确实施工具，与更高的准备程度存在相关性；但该调查并未证明这些做法导致了差异。
OpenSSF 负责 AI/ML/LLM/Agentic Systems 的安全架构师 Laura Guazzelli 表示：“随着 AI 加速软件开发，组织也需要同样审慎地治理和保护所产出的代码。这要从理解 AI 在软件供应链的哪些环节引入风险开始，明确由谁负责应对这些风险，并确保安全实践能够跟上软件构建方式的变化。”
报告建议，组织应为 AI 相关安全威胁指定明确负责人，制定正式的 AI 安全政策并将对生成代码的人工审查纳入其中，同时加强对直接依赖和传递性依赖的控制。基于这些发现，ActiveState 建议在扫描和审查之外，于开源组件引入环节就实施治理，让安全团队在开发者或 AI 助手将组件拉入之前，先决定哪些组件可以进入软件供应链。
报告全文《2026年AI对软件安全与网络安全影响现状》可在 Linux Foundation 网站查看，内容包括研究发现和实务建议：https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
关于 ActiveState
ActiveState 表示，公司致力于在 AI 编码时代从源头保障软件供应链安全。借助 ActiveState Curated Catalog——一个私有、经过审核的开源组件仓库——安全团队可以在开发者或 AI 编程助手引入组件之前，决定哪些内容能够进入企业软件。该公司表示，这让安全团队获得控制权，同时保持工程团队的开发速度。Curated Catalog 可与团队已在使用的制品仓库、扫描器和 AI 编程助手配合使用。更多信息见 activestate.com。
消息来源：ActiveState
