Kod pisany przez AI w Twojej firmie: szybciej, ale czy bezpieczniej? Dane 2026

Twój software house, freelancer albo własny zespół na pewno już używa AI do pisania kodu. I dobrze, sam z niego korzystam codziennie. Problem w tym, że kod, który się kompiluje i działa, wcale nie musi być bezpieczny. Zebrałem najświeższe dane o tym, ile luk wprowadza AI, czy naprawdę przyspiesza pracę i co z tym zrobić jako właściciel firmy.

AI podpowiada, ale odpowiedzialność za kod dalej jest po Twojej stronie. Zdjęcie: Daniil Komov / Unsplash.

AI pisze już połowę kodu

Według raportu Veracode 2026 w firmach, które wdrożyły narzędzia AI do programowania, AI jest autorem mniej więcej połowy commitowanego kodu. To już nie ciekawostka, tylko standard pracy.

Programiści używają tych narzędzi, ale sami im nie ufają. W ankiecie Stack Overflow (ponad 49 tys. odpowiedzi) 84% deweloperów używa AI albo planuje używać, ale 46% nie ufa poprawności tego, co AI generuje, a ufa tylko 33%. W Polsce ufa AI zaledwie 26% programistów.

Ile luk wprowadza AI?

Veracode od 2025 roku testuje modele AI na tych samych zadaniach: kod da się napisać bezpiecznie albo z dziurą, a model sam wybiera. W najnowszym pomiarze z października 2026:

• w 38% zadań AI wygenerowało kod ze znaną luką bezpieczeństwa (rok wcześniej 45%, latem 44%),
• najlepsze modele osiągają 73% bezpiecznych odpowiedzi, najsłabsze wciąż 44 do 50%,
• składniowo kod jest poprawny prawie zawsze, więc wygląda dobrze i przechodzi pobieżny przegląd.

Najgorzej jest dokładnie tam, gdzie strony i sklepy są najbardziej narażone. Przed atakiem XSS (wstrzyknięcie złośliwego skryptu, np. przez formularz) modele zabezpieczają kod tylko w 15% przypadków, a przed log injection w 12%. Dla porównania SQL injection i kryptografię robią poprawnie w ponad 80%.

Ważne zastrzeżenie: te testy były robione bez żadnych wskazówek dotyczących bezpieczeństwa w poleceniu. Czyli dokładnie tak, jak większość ludzi pisze prompty: „zrób mi formularz kontaktowy”.

Czy AI naprawdę przyspiesza?

Tu dane są mniej oczywiste, niż obiecuje marketing. W randomizowanym badaniu METR doświadczeni programiści pracowali nad prawdziwymi zadaniami we własnych projektach. Z AI zajmowało im to średnio 19% dłużej. Najciekawsze: po wszystkim byli przekonani, że AI przyspieszyło ich o 20%.

Uczciwie trzeba dodać, że to były narzędzia z początku 2025 roku. W aktualizacji z 2026 METR pisze, że dziś przyspieszenie jest prawdopodobne, ale nie da się go już rzetelnie zmierzyć, bo programiści nie chcą pracować bez AI nawet na potrzeby badania. Wniosek dla Ciebie: nie wierz deklaracjom „z AI robimy to dwa razy szybciej”, tylko patrz na terminy i liczbę poprawek.

Co zrobić jako właściciel firmy

Nie musisz znać się na kodzie, żeby zadać właściwe pytania. Tak to ustawiam u klientów:

1. Zapytaj, kto czyta kod przed wdrożeniem. Jeśli odpowiedź brzmi „AI go napisało i działa”, to masz problem. Każda zmiana powinna przejść przegląd człowieka, który rozumie, co zatwierdza.
2. Wymagaj automatycznego skanowania. Narzędzia SAST i skanery zależności (np. Dependabot w GitHubie) w procesie wdrożenia kosztują niewiele, a łapią dokładnie te błędy, które AI robi najczęściej.
3. Pisz wymagania bezpieczeństwa wprost. Walidacja danych, escapowanie treści, uprawnienia. Model, który dostanie to w poleceniu, wypada wyraźnie lepiej niż ten, który ma się domyślić.
4. Testuj miejsca, do których trafiają dane od ludzi. Formularze, logowanie, płatności, panel administracyjny. To tam XSS zamienia się w wyciek danych klientów.
5. Mierz efekt, a nie liczbę linijek. Czas od zlecenia do wdrożenia, liczba błędów po wdrożeniu, koszt utrzymania. Więcej kodu szybciej to nie zawsze lepiej.

AI to narzędzie, nie odpowiedzialny za projekt

Nie namawiam do rezygnacji z AI. Namawiam do tego, żeby ktoś po Twojej stronie rozumiał, co trafia na produkcję. Bo gdy wycieknie baza klientów, nikt nie zapyta, który model napisał formularz.

Jeśli nie masz w firmie nikogo, kto pilnuje jakości i bezpieczeństwa kodu, przeczytaj, czym jest fractional CTO. Albo po prostu napisz do mnie, przejrzę, jak dziś wygląda proces wdrażania kodu u Ciebie.

Wszystkiego dobrego,
Sławek

Jeśli potrzebujesz strony, która buduje zaufanie i prowadzi do kontaktu, zobacz ofertę strony internetowej .