Исследование Sonar показало, что новые языковые модели допускают более серьезные ошибки кодирования

В новом отчете, опубликованном компанией по тестированию качества кода SonarSource SA, сообшается, что, хотя новейшие большие языковые модели (LLM), возможно, и демонстрируют лучшие результаты в тестах кодирования, в то же время они приводят к появлению более серьезных ошибок и уязвимостей безопасности.

В исследовании было рассмотрено более 4400 задач программирования на Java, выполненных с помощью больших языковых моделей Claude Sonnet 4 и 3.7, GPT-4o, Llama 3.2 90B и OpenCoder-8B. Все протестированные модели продемонстрировали высокие навыки программирования, такие как создание синтаксически правильного, функционального кода и решение сложных алгоритмических задач. Однако анализ также выявил системные уязвимости по всем направлениям. Наиболее тревожным открытием стало отсутствие осведомлённости LLM о безопасности: каждая модель генерировала высокую долю уязвимостей уровня «BLOCKER» (самый серьёзный рейтинг).

Список возглавила языковая модель Llama 3.2 90B, создавшая более 70% уязвимостей со статусом BLOCKER. За ней следуют GPT-4o с 62,5% и Claude Sonnet 4 с почти 60%. В коде, сгенерированном моделями, были обнаружены распространённые уязвимости, возникающие из-за ограничений отслеживания ненадёжных потоков данных и репликации небезопасного кода из обучающих наборов.

В отчете также подчеркивается серьезность генерируемых ошибок. Например, Claude Sonnet 4, модель с наивысшим баллом в функциональных тестах, выдает почти вдвое больше ошибок уровня BLOCKER по сравнению с ее предшественницей моделью Claude 3.7 Sonnet, что составляет колоссальный рост в 93%.

Наиболее распространенной проблемой модели GPT-4o были ошибки потока управления, составляющие почти половину всех ошибок, в то время как OpenCoder-8B оставил после себя значительное количество избыточного, неиспользуемого кода, который со временем может накапливаться.

Исследование Sonar также выявило «кодирующие личности» для каждой модели.

• Claude Sonnet 4 была названа «старшим архитектором», поскольку была признана многословной и способной создавать сложные решения, но при этом склонной к ошибкам с высоким риском.
• GPT-4o, получила название «эффективный универсал». Модель предлагает сбалансированную сложность, но не дотягивает до логической точности;
• Llama 3.2 90B была названа «невыполненным обещанием» из-за сочетания посредственных функциональных возможностей и слабого уровня безопасности;
• OpenCoder-8B получила личность «быстрый прототипировщик», поскольку модель идеально подходит для быстрого подтверждения концепции, но при этом имеет самую высокую общую плотность проблем.
• Claude 3.7 Sonnet была названа «сбалансированным предшественником», поскольку модель оказалась наиболее дружелюбной к комментариям, что улучшает читаемость кода, но имеет те же основные пробелы в безопасности, что и Claude Sonnet 4.

Авторы исследования сообщили, что без систематических проверок безопасности и качества написания кода моделями ИИ, организации рискуют получить программы полные серьёзных ошибок и уязвимостей. Рекомендуется применять подход «доверяй, но проверяй», независимо от того, написан ли код человеком или большой языковой моделью.

Источник: