• Uno studio condotto nell'ottobre 2026 rivela che Claude Opus 5.5 di Anthropic e GPT-6-Sol di OpenAI sono entrambi in testa a un tasso record del 73%, superando il record precedente del 68%

BURLINGTON, Mass.: Veracode, l'azienda leader globale nella gestione del rischio delle applicazioni, oggi ha annunciato un salto dal 56 percento al 62 percento nella sicurezza generale dei codici generati dall'intelligenza artificiale, assieme a un calo delle vulnerabilità dal 44 percento al 38 percento, il miglioramento più significativo dalla prima serie del GenAI Code Security Report, iniziata nel luglio 2025. Claude Opus 5.5 di Anthropic e GPT-6-Sol di OpenAI si sono classificate entrambe al primo posto nella classifica con il 73 percento, superando il record precedente del 68 percento raggiunto da GPT-5.5 nel luglio 2026.

“Abbiamo analizzato i codici generati da vari LLM per oltre un anno. Ad oggi, non abbiamo visto alcun miglioramento significativo nella sicurezza dei codici AI, nonostante una funzionalità costantemente quasi perfetta”, ha dichiarato Chris Wysopal, Cofondatore e Chief Security Evangelist di Veracode. “È la prima volta da quando svolgiamo il nostro studio che siamo riusciti a segnalare un movimento significativo in termini di sicurezza. Dieci modelli ora superano il 60 percento, un aumento rispetto ai quattro dell'ultimo rapporto, mentre la media complessiva è aumentata di sei punti percentuali. La metà dei codici ora viene generato dall'AI, pertanto i risultati di oggi sono davvero incoraggianti”.

Claude Opus 5.5 e GPT-6-Sol sono in testa

Veracode ha testato 18 modelli in quattro linguaggi (Python, C#, JavaScript, Java) e quattro categorie Common Weakness Enumeration (CWE) (CWE-89, CWE-327, CWE-80, CWE-117). Claude Opus 5.5 e GPT-6-Sol si sono classificate entrambe al 73 percento, spodestando GPT-5.5, che era in pole position nella rilevazione dell'estate 2026 con il 68 percento. Entrambe Anthropic e OpenAI hanno modelli tra i primi sette in classifica. In luglio, sei degli 11 modelli erano tra il 50 e il 53 percento; oggi solo due rimangono in quella fascia, mentre 10 superano il 60 percento. Tuttavia, la base non ha registrato cambiamenti, restando tra il 44 e il 50 percento, ossia il volume di vulnerabilità dipende ancora dalla scelta del modello.

Un inconveniente del miglioramento: XSS svolge il lavoro più pesante

Il tipo di vulnerabilità CWE-80, cross-site scripting (XSS), è stato il fattore trainante dell'aumento complessivo. Pur essendo una delle categorie più deboli, XSS è salito al 18 percento, in contrasto con il suo modesto aumento dimostrato nell'analisi di luglio. Questo rappresenta l'unico cambiamento più notevole nel dataset. Al contempo, la crypto (CWE-327) si è mantenuta all'87 percento, l'iniezione di Structured Query Language (SQL) (CWE-89) è rimasta all'84 percento, mentre l'iniezione di log (CWE-117) è rimasta stabile al 13 percento. Il motivo è strutturale: XSS è la vulnerabilità più facile da risolvere con il riconoscimento dei pattern, che è esattamente il modo in cui gli LLM migliorano. L'iniezione di log richiede il ragionamento sul flusso di dati tra più funzioni, dove gli LLM continuano a bloccarsi.

Il progresso ha un prezzo

I modelli dalle migliori prestazioni comportano costi digitali superiori. Inoltre, le prestazioni sono associate alle dimensioni del modello: i grandi modelli registrano una media del 55 percento contro il 51 percento dei piccoli modelli, il che smentisce i risultati dello scorso anno, ovvero che le dimensioni "non hanno praticamente alcun effetto" sulla sicurezza.

“I modelli che producono i codici più sicuri sono quelli che costano di più se utilizzati su larga scala, eppure falliscono ugualmente su più di una attività di sicurezza su quattro”, ha dichiarato Wysopal. “La risposta non dovrebbe mai essere quella di utilizzare il modello più costoso e sperare per il meglio. Un modello di fascia media a una percentuale di superamento del 60 percento più la scansione Veracode è più accurato, più economico e più scalabile di un modello pionieristico al 73 percento senza verifica. Le organizzazioni devono mirare a una combinazione di modelli di codifica, test di sicurezza e misure correttive per ottenere i massimi risultati in termini di sicurezza”.

Il campo si divide

• I modelli generali aumentano maggiormente il distacco rispetto ai modelli di codifica. I modelli per uso generico registrano una media del 54 percento sulle attività di sicurezza contro il 51 percento dei modelli specializzati nella codifica: un divario aumentato da uno a tre punti dal luglio scorso.
• Quasi quattro attività di codice AI su dieci producono ancora codici vulnerabili. Il tasso di vulnerabilità è diminuito dal 44 al 38 percento. Un calo significativo, ma significa comunque che circa quattro attività su dieci hanno prodotto codici vulnerabili senza una guida specifica per quanto riguarda la sicurezza.
• Java è ancora bloccata. Java rimane il caso particolarmente anomalo con il 31 percento, in leggero aumento rispetto al 30 percento di luglio. Il divario tra Java e gli altri tre linguaggi (Python al 64 percento, C# al 60 percento e JavaScript al 57 percento) è ancora 26–33 punti percentuali.

In conclusione

Il miglioramento è reale ma ripara una piccola parte di una ferita più ampia. Secondo il rapporto 2026 State of Software Security di Veracode, l'82 percento delle organizzazioni ora presenta debiti di sicurezza (vulnerabilità irrisolte da oltre un anno). Inoltre, il 66 percento delle vulnerabilità più rischiose e di lunga data arrivano da codici di terze parti, che richiedono in media 358 giorni per ripararle.

“I LLM più recenti stanno producendo più codici che sono sia funzionali che sicuri, ma ciò non significa che possiamo iniziare a fidarci ciecamente di codici generati dall'AI”, ha concluso Wysopal. “La strategia più efficace non è cercare di ottenere il modello più costoso per vantaggi marginali; è unire la generazione di codici AI con la verifica della sicurezza costante e indipendente che cattura ciò che sfugge ai modelli. Questo approccio copre tutta la superficie del rischio, dai codici propri alle dipendenze di terze parti".

Informazioni sul GenAI Code Security Report

Questo aggiornamento riflette l'analisi rigorosa condotta nell'ottobre 2026. Per i dati completi e i dettagli sulle tendenze in ambito di sicurezza, leggere il GenAI Code Security Report dell'ottobre 2026 sul sito web di Veracode.

Informazioni su Veracode

Veracode è un leader globale nella gestione del rischio applicativo per l'era dell'AI. Basata su trilioni di linee di scansioni di codici e su un motore proprietario di recupero assistito dall'AI, la piattaforma Veracode offre sicurezza software adattiva ed è la scelta a cui si affidano le organizzazioni di tutto il mondo per realizzare e mantenere la sicurezza del software, dalla creazione di codici all'implementazione sul cloud. Migliaia dei team di sviluppo e sicurezza più importanti al mondo utilizzano Veracode ogni secondo di ogni giorno per ottenere visibilità accurata e fruibile sui rischi utilizzabili, rimediare in tempo reale alle vulnerabilità e ridurre i problemi di sicurezza su larga scala. Veracode è una società pluripremiata che offre capacità in grado di tutelare l'intero ciclo di vita di sviluppo del software grazie a prodotti come Veracode Fix, Static Analysis, Dynamic Analysis, Software Composition Analysis, Container Security, Application Security Posture Management, Malicious Package Detection, Package Firewall e Penetration Testing.

Per saperne di più visitare il sito web www.veracode.com e il blog di Veracode, oppure seguire l'azienda su LinkedIn e X.

Copyright © 2026 Veracode, Inc. Tutti i diritti riservati. Veracode è un marchio registrato di Veracode, Inc. negli Stati Uniti e potrebbe essere registrato in altre giurisdizioni. Tutti gli altri nomi di prodotti, marchi o loghi sono di proprietà dei rispettivi titolari. Tutti gli altri marchi citati nel presente documento sono di proprietà dei rispettivi titolari.

Fonte: Business Wire