Paradoks Kod AI: 97% Guna, Tapi Hanya 30% Yang Ada Tadbir Urus

• Semakan kod manual (52%) — penyemak kini memproses volum kod janaan AI yang lebih besar daripada kod yang ditulis manusia, dan volum tersebut semakin meningkat
• Ujian keselamatan (51%) — kod janaan AI memperkenalkan kelas kerentanan baharu yang tidak terdapat pada kod tulisan tangan, terutamanya di sekitar suntikan dependensi, rahsia yang dikod keraskan, dan cadangan pustaka yang lapuk
• Kerja semula kod yang dijana (48%) — hampir separuh pasukan melaporkan menghabiskan masa yang signifikan untuk membetulkan, refaktor, atau menulis semula output AI sebelum ia boleh dihantar

Corak ini sekarang mendapat namanya: anjakan kerja remeh (toil shift). Daripada menghapuskan kerja, AI mengalihkannya dari fasa penciptaan ke fasa pengesahan, ujian, dan pemulihan . Perumusan Black Duck adalah telus: "kebanyakan organisasi menghasilkan kod yang dijana AI lebih cepat daripada yang dapat mereka semak, lindungi, atau tadbir urus" .

Tadbir Urus: Pengganda ROI Sebenar

Jika ada satu penemuan daripada laporan itu yang harus diambil tindakan oleh pemimpin kejuruteraan, inilah: tadbir urus adalah pengganda ROI . Perbezaan antara pasukan yang mentadbir penggunaan AI dan yang tidak bukanlah marginal — ia adalah perbezaan antara menangkap keuntungan kecekapan dan melihatnya bocor keluar.

Black Duck mendapati bahawa organisasi dengan rangka kerja tadbir urus penuh melaporkan 90% keuntungan kecekapan utama daripada alat pengekodan AI. Pasukan tanpa pengawasan berstruktur? Angka itu merosot kepada 44% .

Tadbir urus dalam konteks ini bukan bermaksud birokrasi. Ia bermaksud mempunyai polisi yang ditakrifkan untuk alat mana yang digunakan, bagaimana kod yang dijana AI disemak, apakah pagar keselamatan yang mesti dilalui, dan siapa yang memiliki outputnya. Ini adalah perbezaan antara "pembangun menggunakan apa sahaja yang mereka mahu" dan "pembangun menggunakan alat yang diluluskan dalam saluran paip yang berstruktur dan boleh diaudit."

Masalah AI Bayangan

Merumitkan tadbir urus adalah peningkatan AI Bayangan — pembangun yang menggunakan alat AI bertentangan atau di luar polisi syarikat. Black Duck mendapati bahawa 18% organisasi melaporkan AI bayangan sebagai risiko tidak terurus yang signifikan . Apabila alat seperti Cursor, Windsurf, atau Claude Code diterima pakai pada peringkat pembangun individu tanpa melalui perolehan atau semakan keselamatan, organisasi kehilangan keterlihatan terhadap permukaan serangannya .

Risiko Rantaian Bekalan: Apa yang Diwarisi Kod Janaan AI

Implikasi rantaian bekalan adalah di mana jurang tadbir urus menjadi kerentanan konkrit. Kerja Black Duck — termasuk laporan 2026 OSSRA yang berkaitan — mengetengahkan tiga risiko saling berkait yang khusus untuk pembantu pengekodan AI:

Pelenyapan lesen. Pembantu AI yang dilatih pada repositori sumber terbuka boleh menghasilkan coretan kod dari sumber kopileft tanpa mengekalkan maklumat lesen asal . Laporan OSSRA 2026 mendapati bahawa dua pertiga daripada pangkalan kod yang diaudit mengandungi konflik lesen — kadar tertinggi dalam sejarah laporan itu . Organisasi mungkin menghantar kod yang mereka tidak mempunyai hak untuk menggunakannya, tanpa mengetahuinya.

Letupan dependensi. Komponen sumber terbuka setiap pangkalan kod meningkat 30% tahun ke tahun, dan purata kerentanan setiap pangkalan kod melonjak sebanyak 107% . Pembantu pengekodan AI mempercepatkan trend ini kerana mereka mengarang penyelesaian lebih cepat dan dari korpora latihan yang lebih luas — bermakna setiap fungsi yang dijana AI mungkin menarik dependensi yang tidak dipilih secara eksplisit oleh pembangun.

Jurang pematuhan. Hanya 24% organisasi yang melakukan penilaian IP, lesen, keselamatan, dan kualiti yang komprehensif ke atas kod janaan AI . Ini bermakna tiga perempat daripada organisasi tidak dapat menjawab soalan dengan pasti: "Apakah obligasi undang-undang dan keselamatan yang baru saja kita komitedkan?"

Kepercayaan Pembangun: Penggunaan Meningkat Sementara Keyakinan Merosot

Penemuan Black Duck tidak wujud secara berasingan. Pelbagai tinjauan bebas yang diterbitkan sekitar tempoh yang sama mengukuhkan dan memperluaskan gambaran kepercayaan dengan data berbutir:

• Tinjauan Pembangun Keadaan Kod 2026 Sonar (1,100+ pembangun) mendapati bahawa 96% pembangun tidak sepenuhnya mempercayai ketepatan fungsional kod yang dijana oleh AI . Namun hanya 48% sentiasa mengesahkannya sebelum melakukan komit — bermakna kod yang pembangun sendiri tidak percayai secara rutin dihantar ke produksi .
• Tinjauan Pembangun 2025 Stack Overflow (49,009 responden) menunjukkan kepercayaan terhadap ketepatan AI menurun dari 40% kepada 29% dalam satu tahun. Ketidakpercayaan aktif meningkat kepada 46%, manakala penerimaan positif menurun dari 72% kepada 60% .
• Keadaan Keluaran Perisian Didorong AI 2026 Harness (500 pemimpin kejuruteraan) mendapati 57% masih memerlukan semakan 'manusia dalam gelung' untuk setiap baris kod yang dijana AI, dan 29% menghabiskan lebih banyak masa untuk semakan kod sekarang berbanding sebelum menggunakan pembantu AI .

Konsensus di seluruh tinjauan ini sangat konsisten: pembangun tidak boleh bekerja tanpa alat AI, tetapi mereka juga tidak dapat mempercayainya sepenuhnya. Jurang antara penjanaan dan pengesahan telah menjadi kesesakan baharu.

Diana Kelley, CISO di Noma Security, merangkum ketegangan teras: "Kod yang lebih pantas tidak sama dengan kod yang lebih selamat" .

Apakah Bentuk Tadbir Urus Sebenarnya

Preskripsi Black Duck bukanlah abstrak. Laporan itu menunjukkan satu set langkah konkrit yang membezakan 30% yang mempunyai tadbir urus penuh dari yang lain:

1. Rangka kerja tadbir urus AI berstruktur — bukan garis panduan tidak formal, tetapi polisi yang didokumenkan dan dikuatkuasakan yang meliputi kelulusan alat, semakan output, dan akauntabiliti
2. Pagar semakan yang disepadukan dengan saluran paip — beralih dari serahan manual ke giliran ujian keselamatan, yang masih digunakan oleh 46% syarikat, ke arah pemeriksaan kualiti dan keselamatan automatik yang berjalan pada setiap komit berbantukan AI
3. Pemantauan berterusan selepas penggunaan — Black Duck mencatat bahawa "strategi anjakan-kiri sahaja tidak lagi mencukupi" kerana risiko diperkenalkan, ditemui, dan mesti diuruskan di seluruh kitaran hayat pembangunan perisian
4. Rasionalisasi rantaian alat keselamatan — lebih 71% responden melaporkan rebakan alat sebagai sumber geseran utama, dan mengkonsolidasikan kepada alat yang lebih sedikit dan lebih bersepadu adalah prasyarat untuk menskalakan AI dengan selamat

Inti Patinya

Laporan Black Duck tidak berhujah menentang penggunaan pembantu pengekodan AI. Ia berhujah bahawa menggunakannya tanpa tadbir urus yang setimpal adalah memudaratkan diri sendiri. Apabila 97% pasukan menghasilkan kod pada kelajuan yang tidak pernah berlaku sebelum ini tetapi hanya 30% yang mempunyai infrastruktur pengawasan untuk menguruskannya, industri ini secara kolektif menulis cek yang tidak dapat ditunaikannya.

Korelasi antara tadbir urus dan keuntungan kecekapan — 90% berbanding 44% — membuat kes perniagaan menjadi jelas. Organisasi yang membina pagar keselamatan terlebih dahulu akan menangkap produktiviti yang dijanjikan AI. Mereka yang tidak akan menemui, secara berulang kali, bahawa masa yang dijimatkan di papan kekunci dihabiskan di dalam giliran semakan.