81-88% первичных вердиктов сканеров кода оказались ложными

81-88% первичных вердиктов сканеров кода оказались ложными

81-88% первичных вердиктов сканеров кода оказались ложными

Количество обнаруженных в коде уязвимостей за год выросло на 70%, тогда как очередь на их разбор — лишь на 18%. Сканеры явно научились находить больше, а вот дополнительных инженеров безопасности к ним в комплекте не положили.

AppSec Solutions проанализировала обезличенные данные платформы AppSec.Hub: 4 214 кодовых баз общим объёмом около 510 млн строк и более 3,1 млн находок SAST-, SCA- и DAST-сканеров. В выборку вошли ИТ-компании, финтех и организации реального сектора.

Исследователи подчёркивают: рост числа проблем не обязательно означает, что разработчики внезапно стали писать хуже. С начала 2025 года по май 2026-го объём анализируемого кода увеличился с 333 до 510 млн строк, а количество кодовых баз — с 2 563 до 4 214. Чем больше кода подключают к проверке, тем больше находок получают, особенно на фоне массового вайбкодинга.

Настоящее узкое место начинается после сканирования. Среди ещё не исправленных находок 69% ждут вердикта инженера ИБ. Медианный срок устранения критических проблем за год вырос со 103 до 153 дней. Из уязвимостей, уже переданных разработчикам, закрывают от 12% до 50%.

При этом большая часть лавины — шум, ложными оказываются 81-88% первичных вердиктов сканеров. Доля действительно серьёзных находок High и Critical остаётся стабильной — около 23%. В OWASP Top 10 лидируют нарушения контроля доступа с долей 44%.

По данным разработчика, конвейер AppSec.Hub за полгода превратил 18,7 млн сырых срабатываний в 428 тыс. уникальных находок, а затем — в 9,4 тыс. групп задач на исправление. Поток ужался почти в две тысячи раз.

Правила и ИИ-помощник автоматически закрывают уже 58% первичного разбора. Когда помощник признаёт срабатывание ложным, на крупнейшей проверенной выборке он оказывался прав примерно в 97% случаев. Реальные уязвимости подтверждает человек.

ИИ в банковском антифроде пока проигрывает старым добрым правилам

Банки активно обсуждают искусственный интеллект, но ловить мошенников по-прежнему предпочитают проверенными методами. Только 13% российских банков используют машинное обучение как основной механизм антифрода, и ни один из них полностью не доволен результатом.

Такие данные получили «Инфосистемы Джет» после опроса руководителей антифрод-подразделений более чем 30 банков.

Главные претензии к ИИ: непрозрачные решения, высокие требования к данным и дорогая эксплуатация. Модель объявляет операцию подозрительной, а специалисту потом приходится гадать, что именно ей не понравилось.

У классических механизмов дела бодрее. Системами на основе правил довольны 87% участников, а многофакторными моделями оценки риска — все опрошенные. Правда, последние внедрили только 40% банков, поскольку для настройки требуется серьёзная внутренняя экспертиза.

И вот с ней как раз беда. У 70% банков нет собственных ресурсов для самостоятельной настройки антифрод-систем. Более половины организаций не смогли выполнить новые требования регуляторов без масштабной помощи вендора, а 73% считают встроенную аналитику своих платформ ограниченной.

Базовую защиту дистанционных каналов банки почти закрыли: интернет-банк и мобильные приложения охвачены средствами антифрода практически на 100%. Зато отделения и кредитные продукты остались на периферии, уровень покрытия там не превышает 40%.

Недостающую аналитику банки собирают сами: 80% создают собственные хранилища данных, а 40% внедряют инструменты поиска связей между клиентами, счетами и операциями.

По прогнозу «Инфосистем Джет», в ближайшие два-три года рынок будет соревноваться уже не в скорости, а в гибкости настройки. Победит тот, кто наконец отдаст управление антифродом самим аналитикам, а не заставит их каждый раз звать вендора. Результаты исследования.

RSS: Новости на портале Anti-Malware.ru