Benchmark Last Secure Code cho thấy AI coding agent thường tạo mã chạy đúng nhưng chưa an toàn
Benchmark Last Secure Code đánh giá liệu các AI coding agent có tạo ra mã vừa hoạt động đúng vừa an toàn hay không. Bộ đánh giá gồm 450 nhiệm vụ dựa trên 150 lỗ hổng thực tế, trải rộng trên Java, C, C++, JavaScript, Python, PHP và Go, bao phủ 24 nhóm điểm yếu, trong đó có 21 nhóm thuộc CWE Top 25 năm 2025 và tám điểm yếu nằm trong danh sách Top 10 KEV. Các nhiệm vụ mô phỏng ba quy trình “vibe coding” phổ biến—hoàn thiện một hàm, viết một tệp và xây dựng toàn bộ cây mã nguồn của một repository—nhưng không hề nêu yêu cầu bảo mật; các bài kiểm thử ẩn sẽ đánh giá cả chức năng lẫn lỗ hổng. Trong sáu agent hàng đầu, 73,6% đến 91,3% nhiệm vụ vượt qua kiểm thử chức năng, nhưng hệ thống mạnh nhất, Claude Fable 5, chỉ tạo ra mã vừa đúng chức năng vừa an toàn ở 25,1% nhiệm vụ; các hệ thống còn lại đạt 16,4% đến 24,7%. Kết quả cho thấy mã do AI tạo ra có thể trông như đang hoạt động bình thường nhưng vẫn chứa lỗ hổng nghiêm trọng, vì vậy cần kiểm thử bảo mật thay vì chỉ dựa vào đầu ra của agent.
Lập trình viên có thể dùng AI coding agent để tăng tốc, nhưng không nên coi mã chạy đúng là mã an toàn. Hãy bổ sung kiểm thử bảo mật, quét lỗ hổng và review thủ công trước khi đưa mã AI tạo ra vào sản phẩm thực tế.
Đọc bài gốc