AI-ul scrie cod de patru ori mai repede. Și bug-uri de zece ori mai repede.

Promisiunile de productivitate ale asistenților AI de programare sunt reale și măsurabile. Se dovedește că e la fel și cealaltă jumătate a registrului, iar 2026 a fost anul în care a ajuns în producție destul cod cât să îl numere cineva. Nimic din toate astea nu e un argument împotriva uneltelor. E un argument despre cine verifică rezultatul și ce se întâmplă când nu îl verifică nimeni.

Ce au măsurat studiile din 2026

Cifrele Veracode vin din sarcini controlate, sensibile din punct de vedere al securității, nu din depozite de producție — deci măsoară ce produc modelele la cerere, nu ce ajunge live după review. Numărul de CVE-uri include doar dezvăluirile confirmate; cercetătorii estimează că cifra reală e de cinci-zece ori mai mare în tot ecosistemul open source.

Cele două cifre care merg împreună

În echipele de inginerie din Fortune 50, programatorii asistați de AI au produs cod de trei-patru ori mai des decât colegii lor și au introdus probleme de securitate de zece ori mai des. Ambele jumătăți sunt reale. Puse cap la cap, nu descriu o echipă mai rapidă, ci una care acumulează un anumit tip de datorie mai repede decât poate fi verificată.

Nimic de aici nu spune că acel cod nu funcționează. Spune că funcționează și e exploatabil, ceea ce e o defecțiune mult mai greu de observat, pentru că lucrul pe care îl testezi e dacă funcția își face treaba. Cross-site scripting și injectarea în loguri nu apar atunci când formularul se trimite corect.

De ce greșesc modelele exact în felul ăsta

Un model produce codul cel mai probabil pentru cererea primită, iar codul cel mai probabil de pe internet e varianta din tutorial — cea care demonstrează un concept fără escaparea, validarea și parametrizarea de care are nevoie producția. Ceri o casetă de căutare și primești o casetă de căutare funcțională, scrisă exact cum se scriu casetele de căutare în exemple.

De asta rata de eșec e atât de inegală între limbaje: Java a ieșit cel mai prost, cu 72%, urmând vechimea și volumul exemplelor disponibile pentru el. Modelul nu greșește după propriile lui standarde. Reproduce distribuția pe care a învățat-o, iar distribuția aceea e în mare parte formată din demonstrații.

Ce înseamnă asta dacă ai cumpărat un site ieftin

Dacă o ofertă foarte mică a venit cu un termen foarte scurt, merită să știi dacă a verificat cineva rezultatul pentru altceva decât „arată bine”. Stratul vizibil — pagini, formulare, așezare — e exact partea la care AI-ul se descurcă, așa că un site poate părea complet terminat și, în același timp, să aibă un formular care acceptă o etichetă de script.

Cel mai ieftin moment în care descoperi asta e înainte de lansare; cel mai scump e după ce ți-o dezvăluie o breșă. Un audit tehnic acoperă exact zona asta, iar ce primești de fapt de la un site generat de AI e varianta mai largă a aceleiași întrebări.

Cum arată folosirea responsabilă

Echipele care obțin productivitatea fără datorie fac trei lucruri deloc spectaculoase: scanare automată de securitate în pipeline, ca problemele să apară la commit, nu la audit; verificare umană pentru orice atinge intrări de la utilizatori, autentificare sau acces la date; și o regulă explicită că un cod generat e o ciornă.

Asta nu e o frână pusă AI-ului, e condiția în care viteza merită avută. Folosim uneltele astea zilnic și ținem aceeași regulă intern — un motiv pentru care construim cu Next.js e chiar că valorile lui implicite escapează rezultatul din construcție, ceea ce elimină o întreagă categorie din problema asta înainte să scrie cineva ceva. Cealaltă jumătate a aceluiași an e că atacatorii au adoptat aceleași unelte, și mai repede — hackerii black hat conduc acum roiuri de agenți e povestea aceea.

Surse

Verificate în septembrie 2026. Studii controlate și numărători de dezvăluiri — vezi nota tabelului pentru ce măsoară și ce nu măsoară fiecare.

• Veracode — Actualizarea de primăvară 2026 privind securitatea codului generativ ↗

  Peste 100 de modele mari de limbaj pe sarcini sensibile la securitate: 45% dintre mostre au introdus o problemă din OWASP Top 10, 86% au picat apărarea XSS, 88% injectarea în loguri, Java cel mai slab, cu 72%.

• Cloud Security Alliance — Datoria de securitate a „vibe coding”: valul de CVE-uri generate de AI ↗

  Progresia de 6 → 15 → 35 de CVE-uri pe lună, între ianuarie și martie 2026, și estimarea că dezvăluirile confirmate subevaluează cifra reală de cinci-zece ori.

• Infosecurity Magazine — Cercetătorii trag un semnal de alarmă privind vulnerabilitățile din codul generat de AI ↗

  Relatare despre comparația dintre ritmul de commit și ritmul problemelor de securitate în echipe de inginerie enterprise, citată în prima secțiune.