Cod generat de AI: de patru ori mai mult cod, de zece ori mai multe bug-uri.

Promisiunile de productivitate ale asistenților AI de programare sunt reale și măsurabile. Se dovedește că e la fel și cealaltă jumătate a registrului, adică vulnerabilitățile din cod generat de AI, iar 2026 a fost anul în care a ajuns în producție destul cod cât să îl numere cineva. Nimic din toate astea nu e un argument împotriva uneltelor. E un argument despre cine verifică rezultatul și ce se întâmplă când nu îl verifică nimeni.

Cele două cifre care merg împreună

În echipele de inginerie din Fortune 50, programatorii asistați de AI au produs cod de trei-patru ori mai des decât colegii lor, iar problemele de securitate venite din codul generat de AI au crescut de zece ori în șase luni, la peste 10.000 de probleme noi pe lună în iunie 2025. Ambele jumătăți sunt reale. Puse cap la cap, nu descriu o echipă mai rapidă, ci una care acumulează un anumit tip de datorie mai repede decât poate fi verificată.

Nimic de aici nu spune că acel cod nu funcționează. Spune că funcționează și e exploatabil, ceea ce e o defecțiune mult mai greu de observat, pentru că lucrul pe care îl testezi e dacă funcția își face treaba. Cross-site scripting și injectarea în loguri nu apar atunci când formularul se trimite corect.

De ce greșește codul generat de AI exact în felul ăsta

Un model produce codul cel mai probabil pentru cererea primită, iar codul cel mai probabil de pe internet e varianta din tutorial — cea care demonstrează un concept fără escaparea, validarea și parametrizarea de care are nevoie producția. Ceri o casetă de căutare și primești o casetă de căutare funcțională, scrisă exact cum se scriu casetele de căutare în exemple.

De asta rata de eșec e atât de inegală între limbaje: Java a ieșit cel mai prost, cu 71%, urmând vechimea și volumul exemplelor disponibile pentru el. Modelul nu greșește după propriile lui standarde. Reproduce distribuția pe care a învățat-o, iar distribuția aceea e în mare parte formată din demonstrații.

Ce înseamnă asta dacă ai cumpărat un site ieftin

Dacă o ofertă foarte mică a venit cu un termen foarte scurt, merită să știi dacă a verificat cineva rezultatul pentru altceva decât „arată bine”. Stratul vizibil — pagini, formulare, așezare — e exact partea la care AI-ul se descurcă, așa că un site poate părea complet terminat și, în același timp, să aibă un formular care acceptă o etichetă de script.

Cel mai ieftin moment în care descoperi asta e înainte de lansare; cel mai scump e după ce ți-o dezvăluie o breșă. Un audit tehnic acoperă exact zona asta, iar ce primești de fapt de la un site generat de AI e varianta mai largă a aceleiași întrebări.

Cum arată folosirea responsabilă

Echipele care obțin productivitatea fără datorie fac trei lucruri deloc spectaculoase: scanare automată de securitate în pipeline, ca problemele să apară la commit, nu la audit; verificare umană pentru orice atinge intrări de la utilizatori, autentificare sau acces la date; și o regulă explicită că un cod generat e o ciornă. Ce merge de obicei prost când nimic din toate astea nu există, și ce să verifici întâi, e subiectul ghidului ce este vibe coding.

Asta nu e o frână pusă AI-ului, e condiția în care viteza merită avută. Folosim uneltele astea zilnic și ținem aceeași regulă intern — un motiv pentru care construim cu Next.js e chiar că valorile lui implicite escapează rezultatul din construcție, ceea ce elimină o întreagă categorie din problema asta înainte să scrie cineva ceva. Cealaltă jumătate a aceluiași an e că atacatorii au adoptat aceleași unelte, și mai repede — hackerii black hat conduc acum roiuri de agenți e povestea aceea.

Surse

Verificate în septembrie 2026. Studii controlate și numărători de dezvăluiri — vezi nota tabelului pentru ce măsoară și ce nu măsoară fiecare.

• Veracode — Actualizarea de primăvară 2026 privind securitatea codului generativ ↗

  Peste 150 de modele mari de limbaj pe sarcini sensibile la securitate, fără indicații de securitate în prompt: o rată de trecere de 55%, deci aproximativ 45% dintre mostre au introdus o problemă din OWASP Top 10; 85% au picat apărarea XSS, 87% injectarea în loguri, Java cel mai slab, cu 71%. Mărimea modelului aproape nu a contat, iar modelele de top lansate în 2026 nu au fost mai bune decât cele anterioare.

• Cloud Security Alliance — Datoria de securitate a „vibe coding”: valul de CVE-uri generate de AI ↗

  Progresia de 6 → 15 → 35 de CVE-uri pe lună, între ianuarie și martie 2026, și estimarea că dezvăluirile confirmate subevaluează cifra reală de cinci-zece ori.

• Apiiro — 4x Velocity, 10x Vulnerabilities ↗

  Zeci de mii de depozite și câteva mii de programatori din companii Fortune 50: programatorii asistați de AI au produs de trei-patru ori mai multe commituri, în pull requesturi mai puține, dar mai mari, iar în iunie 2025 codul generat de AI introducea peste 10.000 de probleme de securitate noi pe lună, de zece ori nivelul din decembrie 2024.