Разработчики и их ИИ-агенты создают пару тысяч коммитов кода за время прочтения одного предложения, тогда как год назад их было около 150. Только за сентябрь 2026 года GitHub зафиксировал 7,38 млрд коммитов, что более чем в пять раз превышает показатель годичной давности. Каждый коммит создает код, который нужно понимать, поддерживать и защищать. Для руководителей вопрос уже не в скорости разработки, а в том, успевают ли программы безопасности за тем, что создает ИИ.
Почему ИИ-код обогнал команды безопасности
По данным Cloud Security Alliance, разработчики из компаний Fortune 50, использующие ИИ, создают коммиты в три-четыре раза чаще коллег, а ежемесячное число находок безопасности у них выросло примерно в десять раз. Команда, которая получает этот объем, не увеличилась: служба директора по информационной безопасности сохранила прежний размер, тогда как поток уязвимостей растет, число ежемесячных исправлений снижается, а количество неустраненных критических проблем увеличивается. Gartner называет выгорание директоров по информационной безопасности критическим операционным риском. В итоге возникает разрыв между скоростью создания программ и скоростью поиска и устранения рисков.
Checkmarx отвечает на это архитектурой под названием Checkmarx Fusion, построенной из трех последовательно работающих уровней. Движки на основе правил reproducibly устанавливают базовую картину без затрат на токены и закрывают предсказуемые шаблоны. Затем frontier-модели направляют на то, что правила предвидеть не могут, включая новые шаблоны, сложную логику и эксплуатируемость в контексте. Слой анализа находок объединяет оба результата в единый проверенный набор. Та же логика распространяется на предотвращение проблем в IDE, где разработчики пишут код, а также на готовые к слиянию исправления для уязвимостей, которые все же прошли дальше.
Frontier-модели дают охват за счет вероятностных рассуждений, находя новые эксплойты и неучтенные дефекты, включая слабости, которые становятся эксплуатируемыми только при взаимодействии отдельных частей кода. Эта сила нестабильна: по исследованию Checkmarx, пятикратное сканирование одного и того же кода дает совпадающие результаты лишь примерно в трети случаев. Второе ограничение связано с затратами, поскольку frontier-модели тарифицируются по токенам независимо от того, нашло ли сканирование что-либо. Проверка репозитория на миллион строк стоит более тысячи долларов по текущим открытым ценам, а Uber, тратящий на исследования и разработки 3,4 млрд долларов в год, по сообщениям, израсходовал весь бюджет на ИИ 2026 года за несколько месяцев после внедрения инструментов ИИ-кодирования.
Что комбинированное сканирование дает бизнесу
Для компаний, внедряющих ИИ-кодирование, комбинированный подход меняет распределение усилий. Детерминированный анализ надежно закрывает знакомые классы проблем, такие как hardcoded credentials и SQL injection, что сокращает работу по проверке и оставляет разработчикам больше времени на исправления. По сравнению с работой большой языковой модели в одиночку Checkmarx сообщает о росте достоверности до четырех раз, точности в два-четыре раза и снижении затрат примерно до трети. В небольшой компании с малым числом репозиториев эффект проявляется в меньшем числе отвлечений на ложные срабатывания. В крупном предприятии, сканирующем каждый коммит, pull request и репозиторий, эффект проявляется в снижении расходов на токены и сокращении очереди критических проблем.
Выбор решения все равно требует проверки по трем практическим вопросам, изложенным в исходном материале. Первый вопрос касается доверия: нереальная находка стоит разработчику половины дня, а службе безопасности — доверия, а повторяющиеся ложные срабатывания превращают оповещения в фоновый шум. Второй вопрос касается полноты, измеряемой оценкой F1 по шкале от 1 до 0, которая соотносит точность и пропущенные проблемы; средний показатель в отрасли составляет около 0,20, тогда как Checkmarx заявляет о точности в три-четыре раза выше обычного сканера. Третий вопрос касается реализуемости во всей организации, поскольку расход токенов и цена сильно различаются в зависимости от модели и объема рассуждений. Ни один из этих ответов не проявляется надежно в ходе короткого пилота.
Показателем подтверждения тренда станет сокращение числа неустраненных критических уязвимостей при стабильных затратах на токены в расчете на репозиторий. Если поставщики начнут публиковать проверенные оценки F1, показатели повторяемости и стоимость сканирования миллиона строк, покупатели смогут сравнивать программы по фактам, а не по числу сканирований. Такое раскрытие покажет, что разрыв в рисках сокращается за месяцы, а не расширяется. Без него объем коммитов продолжит расти быстрее, чем число исправлений.
