AI कोडिंग असिस्टेंट जीत गए। अब सुरक्षा की लड़ाई शुरू होती है।

सॉफ्टवेयर इंजीनियरिंग में AI को अपनाने की गति ने एक ऐसी दरार पैदा कर दी है जो होनी नहीं चाहिए थी। एक तरफ, डेवलपमेंट टीमों ने असाधारण गति से कोडिंग असिस्टेंट को अपना लिया है। दूसरी तरफ, उस कोड को नियंत्रित करने वाली सुरक्षा प्रणाली अभी भी ऐसे काम कर रही है जैसे हर पंक्ति एक अकेले इंसान ने एक अनुमानित गति से टाइप की हो। सॉल्ट सिक्योरिटी की जून 2026 की रिपोर्ट, "AI कोडिंग असिस्टेंट और नई सुरक्षा चुनौती," इस अंतर को स्पष्ट शब्दों में मापती है — और एक ऐसा शब्द पेश करती है जो एप्लिकेशन सुरक्षा के अगले युग को परिभाषित कर सकता है: सुरक्षा विचलन (security drift)।

अपनाने का विरोधाभास: तेज़ उपकरण, धीमे नियंत्रण

AI कोडिंग असिस्टेंट अब प्रयोग के हाशिये पर नहीं हैं। सॉल्ट के शोध में पाया गया है कि 67% संगठन रिपोर्ट करते हैं कि ये उपकरण उनकी डेवलपमेंट टीमों में व्यापक रूप से उपयोग किए जा रहे हैं । फर्म का अनुमान है कि 2027 तक AI-सहायता प्राप्त कोड सभी उद्यम कोड के 50% से अधिक हो जाएगा — एक ऐसी सीमा जो मशीन-जनित कोड को उत्पादन प्रणालियों में प्रमुख इनपुट बना देगी ।

इस तरह की वृद्धि का उद्यम प्रौद्योगिकी के लगभग किसी भी अन्य कोने में जश्न मनाया जाता। समस्या तब होती है जब वह कोड बिना किसी आनुपातिक सुरक्षा प्रतिक्रिया के आता है। 90% सुरक्षा नेताओं ने सॉल्ट को बताया कि वे AI-जनित कोड द्वारा पेश किए गए जोखिमों के बारे में सक्रिय रूप से चिंतित हैं । उनकी चिंता अमूर्त नहीं है। सॉल्ट रिपोर्ट में उद्धृत वेराकोड के नवीनतम परीक्षण के अनुसार, AI-जनित कोड के लिए सुरक्षा पास दर मोटे तौर पर 55% है — दो वर्षों में लगभग अपरिवर्तित एक आंकड़ा, जिसका अर्थ है कि जब कोई स्पष्ट सुरक्षा मार्गदर्शन प्रदान नहीं किया जाता है, तो लगभग आधे उत्पन्न कोड में ज्ञात कमज़ोरियाँ होती हैं ।

सॉल्ट के उत्तरदाताओं में, 29% ने असुरक्षित कोडिंग पैटर्न को शीर्ष जोखिम के रूप में इंगित किया, जबकि 15% ने कहा कि प्राथमिक चिंता आंतरिक सुरक्षा नीतियों के साथ बेमेल थी । दोनों भय एक ही मूल कारण से उपजे हैं: AI कोडिंग असिस्टेंट सार्वजनिक कोड पर प्रशिक्षित होते हैं, न कि किसी व्यक्तिगत संगठन की सुरक्षा नीतियों, उद्योग ढाँचों या अनुपालन आवश्यकताओं पर ।

सुरक्षा विचलन: जब कोई ध्यान नहीं देता कि क्या शिप हो रहा है

रिपोर्ट उस तंत्र के रूप में "सुरक्षा विचलन" का परिचय देती है जो अपनाने के विरोधाभास को वास्तविक जोखिम में बदल देता है। विचार सीधा है। एक संगठन अपने सुरक्षा नियम विकी, पीडीएफ और उस आंतरिक जानकारी में लिखता है जिसे AI असिस्टेंट ने कभी पढ़ा ही नहीं। असिस्टेंट ऐसा कोड उत्पन्न करता है जो वाक्य-रचना की दृष्टि से सही और कार्यात्मक रूप से उपयोगी है, लेकिन जो चुपचाप उन आंतरिक नीतियों का उल्लंघन करता है। कोई इसे पकड़ नहीं पाता क्योंकि समीक्षा प्रक्रियाएँ गति बनाए नहीं रख सकतीं ।

यह बात सॉल्ट को प्रशासन के बारे में इसके सबसे क्रियाशील — और चिंताजनक — निष्कर्षों में से एक पर लाती है। 38% संगठन अभी भी AI कोडिंग असिस्टेंट के आउटपुट को संभालने के लिए मुख्य रूप से मैन्युअल कोड समीक्षा पर निर्भर हैं। AI-जनित कोड की मात्रा पहले ही उससे आगे निकल चुकी है जिसका मानव समीक्षक सार्थक निरीक्षण कर सकते हैं, और 2027 के लिए सॉल्ट का अनुमान बताता है कि यह अंतर केवल चौड़ा होगा । केवल एक छोटा सा अल्पसंख्यक संगठनों ने अपने AI कोडिंग वर्कफ़्लो में स्वचालित सुरक्षा गार्डरेल्स को एकीकृत किया है ।

सॉल्ट सिक्योरिटी के सीईओ रोई एलियाहू ने स्थिति को स्पष्ट रूप से सारांशित किया: प्रशासन उस गति के साथ तालमेल बिठाने में विफल रहा है जिस गति से AI कोडिंग असिस्टेंट ने सॉफ्टवेयर विकास को बदल दिया है । पारंपरिक स्टैटिक और डायनेमिक एनालिसिस टूल (SAST/DAST) पाइपलाइन में देर से समस्याओं को पकड़ते हैं, जब हर सुधार एक पुनर्लेखन बन जाता है और हर पुनर्लेखन एक देरी है ।

METR का अनुभव-वास्तविकता का अंतर: धीमा होना, लेकिन तेज़ महसूस होना

सुरक्षा प्रशासन एकमात्र ऐसा क्षेत्र नहीं है जहाँ धारणा और वास्तविकता अलग हो गई हैं। सॉल्ट की रिपोर्ट एक बाहरी अध्ययन के निष्कर्ष पर प्रकाश डालती है जो डेवलपर-टूलिंग बहसों में एक संदर्भ बिंदु बन गया है: METR यादृच्छिक नियंत्रित परीक्षण (randomized controlled trial) जो जुलाई 2025 में प्रकाशित हुआ ।

अध्ययन ने 16 अनुभवी ओपन-सोर्स डेवलपर्स को उनके अपने परिपक्व रिपॉजिटरी पर 246 वास्तविक-दुनिया के कार्यों के माध्यम से रखा — कोडबेस जिनका औसत दस लाख से अधिक पंक्तियों और हजारों गिटहब स्टार्स का था। प्रतिभागियों को बेतरतीब ढंग से या तो AI उपकरण (मुख्य रूप से कर्सर प्रो विद क्लाउड 3.5/3.7 सॉनेट) का उपयोग करने या उनके बिना काम करने के लिए सौंपा गया था ।

इसके मुख्य परिणाम को इतनी बार उद्धृत किया गया है कि इसके पृष्ठभूमि शोर बनने का जोखिम है, लेकिन संख्याएँ अभी भी चौंकाने वाली हैं। AI का उपयोग करने वाले डेवलपर्स ने बिना किसी AI सहायता के काम करने वालों की तुलना में 19% धीमी गति से कार्य पूरे किए। परीक्षण से पहले, उन्हीं डेवलपर्स ने भविष्यवाणी की थी कि AI उन्हें 24% तेज़ बना देगा। अपने कार्य पूरे करने के बाद, उन्होंने अनुमान लगाया कि उपकरणों ने उन्हें लगभग 20% तेज़ बना दिया था — भले ही वस्तुनिष्ठ माप ने दिखाया कि वे धीमे थे। महसूस की गई और वास्तविक उत्पादकता के बीच का अंतर 39 प्रतिशत अंकों से अधिक था ।

METR के निष्कर्ष का मतलब यह नहीं है कि AI उपकरण बेकार हैं — संदर्भ बहुत मायने रखता है। ऑनबोर्डिंग परिदृश्यों, नियमित बॉयलरप्लेट जनरेशन और उन कार्यों में लाभ देखा गया है जहाँ डेवलपर कोडबेस से कम परिचित हैं। लेकिन जटिल, कोडबेस-निर्भर कार्यों पर काम करने वाले अनुभवी इंजीनियरों के लिए, सबूत बताते हैं कि उपकरण ऐसी रगड़ पैदा कर सकते हैं जिसे डेवलपर सचेत रूप से दर्ज नहीं करते हैं ।

सॉल्ट कोड: पाइपलाइन पर नहीं, प्रॉम्प्ट पर नियम लागू करना

सॉल्ट ने अपने शोध विमोचन को एक उत्पाद लॉन्च के साथ जोड़ा, जो रिपोर्ट द्वारा पहचाने गए प्रशासनिक अंतर को संबोधित करने के लिए डिज़ाइन किया गया था। 1 जून, 2026 को, कंपनी ने सॉल्ट कोड पेश किया, जो उसके व्यापक एजेंटिक सुरक्षा प्लेटफ़ॉर्म का एक नया घटक है ।

सॉल्ट कोड का दृष्टिकोण सुरक्षा विचलन को शुरू होने से पहले ही रोकना है। AI-जनित कोड को तथ्य के बाद स्कैन करने के बजाय, यह कोड जनरेशन के क्षण में सीधे AI कोडिंग असिस्टेंट के अंदर एक संगठन के आंतरिक सुरक्षा और अनुपालन नियमों को लागू करता है। यह उत्पाद उन प्रमुख उपकरणों पर काम करता है जिन पर उद्यम मानकीकरण कर रहे हैं: क्लाउड कोड, कर्सर, गिटहब कोपायलट, विंडसर्फ, कोडेक्स, और जेमिनी CLI ।

इसका लक्ष्य नीति-अनुरूप कोड को डिफ़ॉल्ट आउटपुट बनाना है, न कि कुछ ऐसा जिसके लिए डाउनस्ट्रीम स्कैनिंग और पुनर्लेखन की आवश्यकता हो। सुरक्षा टीमों के लिए, यह कोड निर्माण, पाइपलाइन जाँच और रनटाइम निगरानी में एक एकल नीति परत प्रदान करता है — त्रुटियों को पकड़ने से लेकर उन्हें रोकने की ओर एक बदलाव ।

क्या सॉल्ट कोड या इसी तरह के उपकरण उस गति से प्रशासनिक अंतर को बंद करेंगे जिसकी AI अपनाने की माँग है, यह एक खुला प्रश्न बना हुआ है। लेकिन यात्रा की दिशा स्पष्ट है। यदि यह अनुमान सही साबित होता है — कि अगले अठारह महीनों के भीतर AI सभी उद्यम कोड के आधे से अधिक लिख देगा — तो सुरक्षा नीति को समीक्षा चरण से हटकर एक डिफ़ॉल्ट सेटिंग बनना होगा। विकल्प, जैसा कि सॉल्ट की रिपोर्ट चेतावनी देती है, एक औद्योगिक पैमाने पर सुरक्षा विचलन है।