Säkerhetsanalys av AI-genererad kod : Analys genom statiska kodanalysverktyg

Sammanfattning

Den ökande användningen av AI-verktyg i mjukvaruutveckling skapar ett behov av metoder för att systematiskt bedöma säkerhetskvaliteten i AI-genererad kod. Syftet med denna studie är att undersöka i vilken utsträckning statiska analysverktyg kan detektera säkerhetssårbarheter i Pythonkod genererad av Claude Code, samt att analysera hur kodkomplexitet och detektionsförmågan. kombination av verktyg påverkar Studien genomfördes som ett kontrollerat kvantitativt experiment. Två experimentella projekt konstruerades med stigande komplexitet: ett Flask-baserat REST API och ett FastAPI-baserat REST API med rollbaserad åtkomstkontroll. Varje projekt byggdes iterativt genom fem GitHub-liknande issue-poster, vilket simulerar ett realistiskt agilt arbetsflöde. De fyra verktygen Bandit, Semgrep, detect-secrets och pip audit kördes i en automatiserad pipeline mot tio kumulativa datasatser. Kända sårbara biblioteksversioner inkluderades för att skapa ett kontrollerbart ground truth. Resultaten visar att den kombinerade pipelinen uppnådde fullständig recall (100 %) mot det definierade ground truth. pip-audit identifierade samtliga 42 beroendesårbarheter, medan Bandit och Semgrep vardera fångade två av tre verifierade SAST-fynd. Verktygen visade sig i hög grad komplementära, med minimal överlappning och distinkta kompetensprofiler. Kodkomplexitetens effekt på detektion var inte linjär utan språngvis, kopplad till specifika iterationer med stor kodtillväxt. Studien drar slutsatsen att automatiserad statisk analys kan fungera som ett praktiskt säkerhetsstöd för AI-genererad kod. Ett negativt resultat från verktygen innebär inte frånvaro av säkerhetsproblem, utan frånvaro av kända mönster. Kombinationen av fyra verktyg med olika kompetensprofiler rekommenderas som ett komplement till, inte ett substitut för, mänsklig granskning.