AI कोडिंग असिस्टेंट जीत गए। अब सुरक्षा की लड़ाई शुरू होती है।

सॉल्ट के उत्तरदाताओं में, 29% ने असुरक्षित कोडिंग पैटर्न को शीर्ष जोखिम के रूप में इंगित किया, जबकि 15% ने कहा कि प्राथमिक चिंता आंतरिक सुरक्षा नीतियों के साथ बेमेल थी । दोनों भय एक ही मूल कारण से उपजे हैं: AI कोडिंग असिस्टेंट सार्वजनिक कोड पर प्रशिक्षित होते हैं, न कि किसी व्यक्तिगत संगठन की सुरक्षा नीतियों, उद्योग ढाँचों या अनुपालन आवश्यकताओं पर ।

सुरक्षा विचलन: जब कोई ध्यान नहीं देता कि क्या शिप हो रहा है

रिपोर्ट उस तंत्र के रूप में "सुरक्षा विचलन" का परिचय देती है जो अपनाने के विरोधाभास को वास्तविक जोखिम में बदल देता है। विचार सीधा है। एक संगठन अपने सुरक्षा नियम विकी, पीडीएफ और उस आंतरिक जानकारी में लिखता है जिसे AI असिस्टेंट ने कभी पढ़ा ही नहीं। असिस्टेंट ऐसा कोड उत्पन्न करता है जो वाक्य-रचना की दृष्टि से सही और कार्यात्मक रूप से उपयोगी है, लेकिन जो चुपचाप उन आंतरिक नीतियों का उल्लंघन करता है। कोई इसे पकड़ नहीं पाता क्योंकि समीक्षा प्रक्रियाएँ गति बनाए नहीं रख सकतीं ।

यह बात सॉल्ट को प्रशासन के बारे में इसके सबसे क्रियाशील — और चिंताजनक — निष्कर्षों में से एक पर लाती है। 38% संगठन अभी भी AI कोडिंग असिस्टेंट के आउटपुट को संभालने के लिए मुख्य रूप से मैन्युअल कोड समीक्षा पर निर्भर हैं। AI-जनित कोड की मात्रा पहले ही उससे आगे निकल चुकी है जिसका मानव समीक्षक सार्थक निरीक्षण कर सकते हैं, और 2027 के लिए सॉल्ट का अनुमान बताता है कि यह अंतर केवल चौड़ा होगा । केवल एक छोटा सा अल्पसंख्यक संगठनों ने अपने AI कोडिंग वर्कफ़्लो में स्वचालित सुरक्षा गार्डरेल्स को एकीकृत किया है ।

सॉल्ट सिक्योरिटी के सीईओ रोई एलियाहू ने स्थिति को स्पष्ट रूप से सारांशित किया: प्रशासन उस गति के साथ तालमेल बिठाने में विफल रहा है जिस गति से AI कोडिंग असिस्टेंट ने सॉफ्टवेयर विकास को बदल दिया है । पारंपरिक स्टैटिक और डायनेमिक एनालिसिस टूल (SAST/DAST) पाइपलाइन में देर से समस्याओं को पकड़ते हैं, जब हर सुधार एक पुनर्लेखन बन जाता है और हर पुनर्लेखन एक देरी है ।

METR का अनुभव-वास्तविकता का अंतर: धीमा होना, लेकिन तेज़ महसूस होना

सुरक्षा प्रशासन एकमात्र ऐसा क्षेत्र नहीं है जहाँ धारणा और वास्तविकता अलग हो गई हैं। सॉल्ट की रिपोर्ट एक बाहरी अध्ययन के निष्कर्ष पर प्रकाश डालती है जो डेवलपर-टूलिंग बहसों में एक संदर्भ बिंदु बन गया है: METR यादृच्छिक नियंत्रित परीक्षण (randomized controlled trial) जो जुलाई 2025 में प्रकाशित हुआ ।

अध्ययन ने 16 अनुभवी ओपन-सोर्स डेवलपर्स को उनके अपने परिपक्व रिपॉजिटरी पर 246 वास्तविक-दुनिया के कार्यों के माध्यम से रखा — कोडबेस जिनका औसत दस लाख से अधिक पंक्तियों और हजारों गिटहब स्टार्स का था। प्रतिभागियों को बेतरतीब ढंग से या तो AI उपकरण (मुख्य रूप से कर्सर प्रो विद क्लाउड 3.5/3.7 सॉनेट) का उपयोग करने या उनके बिना काम करने के लिए सौंपा गया था ।

इसके मुख्य परिणाम को इतनी बार उद्धृत किया गया है कि इसके पृष्ठभूमि शोर बनने का जोखिम है, लेकिन संख्याएँ अभी भी चौंकाने वाली हैं। AI का उपयोग करने वाले डेवलपर्स ने बिना किसी AI सहायता के काम करने वालों की तुलना में 19% धीमी गति से कार्य पूरे किए। परीक्षण से पहले, उन्हीं डेवलपर्स ने भविष्यवाणी की थी कि AI उन्हें 24% तेज़ बना देगा। अपने कार्य पूरे करने के बाद, उन्होंने अनुमान लगाया कि उपकरणों ने उन्हें लगभग 20% तेज़ बना दिया था — भले ही वस्तुनिष्ठ माप ने दिखाया कि वे धीमे थे। महसूस की गई और वास्तविक उत्पादकता के बीच का अंतर 39 प्रतिशत अंकों से अधिक था ।

METR के निष्कर्ष का मतलब यह नहीं है कि AI उपकरण बेकार हैं — संदर्भ बहुत मायने रखता है। ऑनबोर्डिंग परिदृश्यों, नियमित बॉयलरप्लेट जनरेशन और उन कार्यों में लाभ देखा गया है जहाँ डेवलपर कोडबेस से कम परिचित हैं। लेकिन जटिल, कोडबेस-निर्भर कार्यों पर काम करने वाले अनुभवी इंजीनियरों के लिए, सबूत बताते हैं कि उपकरण ऐसी रगड़ पैदा कर सकते हैं जिसे डेवलपर सचेत रूप से दर्ज नहीं करते हैं ।

सॉल्ट कोड: पाइपलाइन पर नहीं, प्रॉम्प्ट पर नियम लागू करना

सॉल्ट ने अपने शोध विमोचन को एक उत्पाद लॉन्च के साथ जोड़ा, जो रिपोर्ट द्वारा पहचाने गए प्रशासनिक अंतर को संबोधित करने के लिए डिज़ाइन किया गया था। 1 जून, 2026 को, कंपनी ने सॉल्ट कोड पेश किया, जो उसके व्यापक एजेंटिक सुरक्षा प्लेटफ़ॉर्म का एक नया घटक है ।

सॉल्ट कोड का दृष्टिकोण सुरक्षा विचलन को शुरू होने से पहले ही रोकना है। AI-जनित कोड को तथ्य के बाद स्कैन करने के बजाय, यह कोड जनरेशन के क्षण में सीधे AI कोडिंग असिस्टेंट के अंदर एक संगठन के आंतरिक सुरक्षा और अनुपालन नियमों को लागू करता है। यह उत्पाद उन प्रमुख उपकरणों पर काम करता है जिन पर उद्यम मानकीकरण कर रहे हैं: क्लाउड कोड, कर्सर, गिटहब कोपायलट, विंडसर्फ, कोडेक्स, और जेमिनी CLI ।

इसका लक्ष्य नीति-अनुरूप कोड को डिफ़ॉल्ट आउटपुट बनाना है, न कि कुछ ऐसा जिसके लिए डाउनस्ट्रीम स्कैनिंग और पुनर्लेखन की आवश्यकता हो। सुरक्षा टीमों के लिए, यह कोड निर्माण, पाइपलाइन जाँच और रनटाइम निगरानी में एक एकल नीति परत प्रदान करता है — त्रुटियों को पकड़ने से लेकर उन्हें रोकने की ओर एक बदलाव ।

क्या सॉल्ट कोड या इसी तरह के उपकरण उस गति से प्रशासनिक अंतर को बंद करेंगे जिसकी AI अपनाने की माँग है, यह एक खुला प्रश्न बना हुआ है। लेकिन यात्रा की दिशा स्पष्ट है। यदि यह अनुमान सही साबित होता है — कि अगले अठारह महीनों के भीतर AI सभी उद्यम कोड के आधे से अधिक लिख देगा — तो सुरक्षा नीति को समीक्षा चरण से हटकर एक डिफ़ॉल्ट सेटिंग बनना होगा। विकल्प, जैसा कि सॉल्ट की रिपोर्ट चेतावनी देती है, एक औद्योगिक पैमाने पर सुरक्षा विचलन है।