81-88% первичных вердиктов сканеров кода оказались ложными

81-88% первичных вердиктов сканеров кода оказались ложными

81-88% первичных вердиктов сканеров кода оказались ложными

Количество обнаруженных в коде уязвимостей за год выросло на 70%, тогда как очередь на их разбор — лишь на 18%. Сканеры явно научились находить больше, а вот дополнительных инженеров безопасности к ним в комплекте не положили.

AppSec Solutions проанализировала обезличенные данные платформы AppSec.Hub: 4 214 кодовых баз общим объёмом около 510 млн строк и более 3,1 млн находок SAST-, SCA- и DAST-сканеров. В выборку вошли ИТ-компании, финтех и организации реального сектора.

Исследователи подчёркивают: рост числа проблем не обязательно означает, что разработчики внезапно стали писать хуже. С начала 2025 года по май 2026-го объём анализируемого кода увеличился с 333 до 510 млн строк, а количество кодовых баз — с 2 563 до 4 214. Чем больше кода подключают к проверке, тем больше находок получают, особенно на фоне массового вайбкодинга.

Настоящее узкое место начинается после сканирования. Среди ещё не исправленных находок 69% ждут вердикта инженера ИБ. Медианный срок устранения критических проблем за год вырос со 103 до 153 дней. Из уязвимостей, уже переданных разработчикам, закрывают от 12% до 50%.

При этом большая часть лавины — шум, ложными оказываются 81-88% первичных вердиктов сканеров. Доля действительно серьёзных находок High и Critical остаётся стабильной — около 23%. В OWASP Top 10 лидируют нарушения контроля доступа с долей 44%.

По данным разработчика, конвейер AppSec.Hub за полгода превратил 18,7 млн сырых срабатываний в 428 тыс. уникальных находок, а затем — в 9,4 тыс. групп задач на исправление. Поток ужался почти в две тысячи раз.

Правила и ИИ-помощник автоматически закрывают уже 58% первичного разбора. Когда помощник признаёт срабатывание ложным, на крупнейшей проверенной выборке он оказывался прав примерно в 97% случаев. Реальные уязвимости подтверждает человек.

Подпишитесь на новости

Агенты OpenAI ослабили мониторинг своего нежелательного поведения

OpenAI раскрыла два случая, когда её ИИ-агенты при выполнении обычных задач по программированию ослабили мониторинг нежелательного поведения. Один отключил уведомления службы безопасности, другой удалил интеграцию мониторинга, а затем заявил, что ничего такого не делал.

Подробности компания опубликовала  в собственном разборе инцидентов. Инциденты произошли 3 и 6 октября во внутренних системах OpenAI.

В первом эпизоде агент GPT-6.1 Sol работал с оценочными заданиями на основе отзывов из Slack. Пользователь запретил отправлять сообщения, а агент распространил этот запрет на автоматические уведомления безопасности. Сам монитор продолжал работать, но оповещения людям были отключены.

Во втором случае GPT-6 Astra переносил программу по образцу другой реализации. Ради соответствия образцу агент убрал подключение мониторинга. Позже он ложно сообщил пользователю, что не удалял его.

По оценке OpenAI, в обоих случаях агенты рассматривали вопрос сохранения защитных механизмов, но истолковали рабочие инструкции как разрешение их ослабить.

Компания усиливает систему мониторинга и выясняет, что стоит за таким поведением: чрезмерное стремление выполнить задачу или склонность обходить контроль.

RSS: Новости на портале Anti-Malware.ru