AI編寫代碼的速度，正快於安全團隊的審查速度。由ActiveState贊助並參與的一項Linux Foundation新研究顯示，58%的團隊發布代碼的速度已經超過安全審查能夠跟上的水平；同時，60%的受訪者表示，AI編程助手增加了他們代碼庫中的外部軟件包數量。但對於這些軟件包引入的間接依賴，也就是「傳遞性依賴」，團隊僅有約一半時間會進行審查。
ActiveState 是這項新研究的贊助方和貢獻方。該研究由 Open Source Security Foundation（OpenSSF）以及 LF AI 和 Data Foundation 支持。ActiveState 在週一公佈了《2026年 AI 對軟件安全與網絡安全影響現狀》（State of AI Impact on Software Security and Cybersecurity 2026）的研究結果。研究稱，由 AI 驅動的軟件開發速度與組織保護所產生代碼的安全能力之間，正出現不斷擴大的差距。
研究稱，隨著 AI 同時加速代碼生成和漏洞發現的過程，這些挑戰正變得越來越緊迫，組織在攻擊者利用安全缺陷之前識別並修復問題的時間越來越少。2026年10月的 PHP2Shell 漏洞凸顯了這種緊迫性：漏洞披露後數小時內，就已發布緊急補丁，並有報告稱有人試圖利用該漏洞。研究稱，隨著漏洞被識別和利用的速度不斷加快，組織面臨的壓力也越來越大，他們必須確保安全審查、依賴項審核和修復工作能夠跟上市場的節奏。
這項調查覆蓋了172名來自企業和開源項目的安全從業人員。調查還發現，AI也是解決方案的一部分，但伴隨著一些權衡。受訪者表示，在過去一年中發現的漏洞中，有30%是藉助AI輔助工具檢測到的；69%的受訪者稱，這些工具顯著改善了他們的安全態勢。平均來看，AI工具讓安全工作提速17%，但漏洞誤報使從業人員的工作量增加了30%，這突顯出在AI帶來的效率提升與有效安全監督之間需要取得平衡。
ActiveState 首席执行官 Abby Kearns 表示：“AI 编程助手不只是编写代码，它們還會選擇你的依賴項，而這項研究顯示，團隊對隨之而來的內容只檢查了大約一半。這與我們每週從客戶那裡聽到的情況一致。放慢開發者的速度並不能解決問題。答案是在代碼進入代碼庫之前就決定哪些內容值得信任，這樣開發者及其 AI 工具就可以從安全團隊已經批准的組件開始。”
其他主要發現包括：
- 技能面臨風險。82%的受訪者認同，過度依賴 AI 工具會削弱開發者的安全技能。
- 對於每一項被衡量的 AI 相關威脅，表達擔憂的從業者數量都多於認為自己已經做好準備的人數。其中差距最大的是 AI 自動化漏洞利用生成和模糊測試，差值達到41個百分點。
- 供應鏈位居擔憂清單的首位。供應鏈攻擊是安全專家最擔心的問題，佔比93%；其後是提示注入（prompt injection），佔比90%；以及高頻組件更新帶來的維護負擔，佔比87%。
- 責任歸屬不明。只有30%的團隊設有專門負責 AI 相關安全威脅的崗位，只有約三分之一的團隊擁有涵蓋 AI 的正式安全政策。
- 明確歸屬會帶來回報。在設有專門 AI 安全崗位的團隊中，75% 表示自己已為針對 AI 系統的對抗性攻擊做好充分準備；而在所有受訪者中，這一比例為 50%。
- 人工審查並非默認要求。在擁有 AI 安全政策的團隊中，也只有 57% 要求對 AI 生成的代碼進行人工審查。
研究稱，這些發現共同表明，隨著 AI 的採用程度提高，需要更明確地界定安全責任，並加強治理。研究同時指出，設立專門崗位、制定清晰政策以及正確實施工具，與更高的準備程度存在相關性；但該調查並未證明這些做法導致了差異。
OpenSSF 負責 AI / ML / LLM / Agentic Systems 的安全架構師 Laura Guazzelli 表示：「隨著 AI 加速軟件開發，組織也需要同樣審慎地治理與保護所產生的代碼。這需要從了解 AI 在軟件供應鏈的哪些環節引入風險開始，明確由誰負責應對這些風險，並確保安全實踐能夠跟上市軟件構建方式的变化。」
報告建議，組織應為 AI 相關的安全威脅指定明確的負責人，制定正式的 AI 安全政策並將對生成代碼的人工審查納入其中，同時加強對直接依賴和傳遞性依賴的控制。基於這些發現，ActiveState 建議在掃描和審查之外，在開源組件引入環節就實施治理，讓安全團隊在開發者或 AI 助手將組件拉入之前，先決定哪些組件可以進入軟件供應鏈。
報告全文《2026年AI對軟件安全與網絡安全影響現狀》可在Linux Foundation網站查看，內容包括研究發現和實務建議：https://www.linuxfoundation.org / research / ai-impact-on-cybersecurity-2026
關於 ActiveState
ActiveState 表示，該公司致力於在 AI 编碼時代從源頭保障軟件供應鏈的安全。藉助於 ActiveState Curated Catalog —— 一個私有的、經過審查的开源組件倉庫 —— 安全團隊可以在開發者或 AI 編程助手引入組件之前，決定哪些內容能夠進入企業軟件。該公司表示，這讓安全團隊獲得了控制權，同時保持了工程團隊的開發速度。Curated Catalog 可以與團隊已經在使用中的制品倉庫、掃描器以及 AI 編程助手配合使用。更多信息請見 activestate.com。
消息來源： ActiveState
