Paradoks AI w kodowaniu: 97% adopcji, 90% wąskich gardeł i kryzys nadzoru

• Ręczny przegląd kodu (52%) – recenzenci przetwarzają teraz większą ilość kodu wygenerowanego przez AI niż kodu napisanego przez człowieka, a ta ilość rośnie
• Testy bezpieczeństwa (51%) – kod generowany przez AI wprowadza nowe klasy podatności, które nie występowały w ręcznie pisanym odpowiedniku, szczególnie w zakresie wstrzykiwania zależności, zakodowanych na stałe sekretów i rekomendacji przestarzałych bibliotek
• Przerabianie wygenerowanego kodu (48%) – prawie połowa zespołów zgłasza, że spędza znaczną ilość czasu na naprawianiu, refaktoryzacji lub przepisywaniu wyników pracy AI przed ich wdrożeniem

Ten wzorzec ma już swoją nazwę: przesunięcie żmudnej pracy (toil shift). Zamiast eliminować pracę, AI przenosi ją z fazy tworzenia do faz weryfikacji, testowania i naprawy . Black Duck ujmuje to bez ogródek: "większość organizacji produkuje kod generowany przez AI szybciej, niż jest w stanie go przeglądać, zabezpieczać lub nim zarządzać" .

Nadzór: prawdziwy mnożnik zwrotu z inwestycji

Jeśli z raportu płynie jedna lekcja dla liderów inżynierii, to jest nią ta: nadzór jest mnożnikiem zwrotu z inwestycji (ROI) . Różnica między zespołami, które zarządzają wykorzystaniem AI, a tymi, które tego nie robią, nie jest marginalna – to różnica między przechwytywaniem zysków wydajności a obserwowaniem, jak wyciekają one bokami.

Black Duck odkrył, że organizacje z pełnymi ramami nadzoru odnotowały 90% znaczących zysków wydajności z narzędzi AI do kodowania. Zespoły bez ustrukturyzowanego nadzoru? Ten wskaźnik spada do 44% .

Nadzór w tym kontekście nie oznacza biurokracji. Oznacza posiadanie zdefiniowanych zasad dotyczących tego, które narzędzia są używane, jak przeglądany jest kod generowany przez AI, jakie bramki bezpieczeństwa muszą zostać pokonane i kto jest odpowiedzialny za rezultat. To różnica między "programiści używają, czego chcą" a "programiści używają zatwierdzonych narzędzi w ramach ustrukturyzowanego, kontrolowanego procesu".

Problem Shadow AI

Zarządzanie komplikuje rozwój Shadow AI – sytuacji, w której programiści korzystają z narzędzi AI wbrew polityce firmy lub poza nią. Black Duck stwierdził, że 18% organizacji zgłasza Shadow AI jako znaczące, niezarządzane ryzyko . Kiedy narzędzia takie jak Cursor, Windsurf czy Claude Code są przyjmowane na poziomie indywidualnego dewelopera, bez przechodzenia przez proces zakupowy czy przegląd bezpieczeństwa, organizacja traci widoczność swojej powierzchni ataku .

Ryzyka łańcucha dostaw: co dziedziczy kod generowany przez AI

Implikacje dla łańcucha dostaw oprogramowania to miejsce, gdzie luki w zarządzaniu stają się konkretnymi podatnościami. Prace Black Duck – w tym pokrewny raport 2026 OSSRA – ujawniają trzy powiązane ze sobą ryzyka, szczególnie charakterystyczne dla asystentów AI w kodowaniu:

Pranie licencji. Asystenci AI szkoleni na repozytoriach open-source mogą generować fragmenty kodu ze źródeł objętych zasadą copyleft, nie zachowując oryginalnych informacji o licencji . Raport OSSRA 2026 wykazał, że dwie trzecie skontrolowanych baz kodu zawiera konflikty licencyjne – to najwyższy wskaźnik w historii raportu . Organizacje mogą dostarczać kod, do którego nie mają prawa użycia, nie zdając sobie z tego sprawy.

Eksplozja zależności. Liczba komponentów open-source na bazę kodu wzrosła o 30% rok do roku, a średnia liczba podatności na bazę kodu podskoczyła o 107% . Asystenci AI przyspieszają ten trend, ponieważ komponują rozwiązania szybciej i z szerszych korpusów szkoleniowych – co oznacza, że każda funkcja wygenerowana przez AI może wciągać zależności, których programista nie wybrał świadomie.

Luka w zgodności. Tylko 24% organizacji przeprowadza kompleksowe oceny własności intelektualnej, licencji, bezpieczeństwa i jakości kodu generowanego przez AI . Oznacza to, że trzy czwarte organizacji nie jest w stanie rzetelnie odpowiedzieć na pytanie: "Do jakich zobowiązań prawnych i bezpieczeństwa właśnie się zobowiązaliśmy?"

Zaufanie deweloperów: adopcja rośnie, podczas gdy pewność spada

Wyniki Black Duck nie istnieją w izolacji. Wiele niezależnych badań opublikowanych mniej więcej w tym samym okresie wzmacnia i rozszerza obraz zaufania o szczegółowe dane:

• Badanie Sonar 2026 State of Code Developer Survey (ponad 1100 programistów) wykazało, że 96% programistów nie ufa w pełni funkcjonalnej poprawności kodu generowanego przez AI . Mimo to tylko 48% zawsze weryfikuje go przed zatwierdzeniem – co oznacza, że kod, któremu sami programiści nie ufają, jest regularnie wdrażany na produkcję .
• Stack Overflow 2025 Developer Survey (49 009 respondentów) pokazało, że zaufanie do dokładności AI spadło z 40% do 29% w ciągu jednego roku. Aktywna nieufność wzrosła do 46%, podczas gdy pozytywne nastawienie spadło z 72% do 60% .
• Harness State of AI-Driven Software Releases 2026 (500 liderów inżynierii) wykazało, że 57% wciąż wymaga przeglądu z udziałem człowieka (human-in-the-loop) dla każdej linii kodu wygenerowanego przez AI, a 29% poświęca więcej czasu na przegląd kodu teraz niż przed wdrożeniem asystentów AI .

Konsensus w tych badaniach jest niezwykle spójny: programiści nie mogą pracować bez narzędzi AI, ale też nie mogą im w pełni ufać. Przepaść między generowaniem a weryfikacją stała się nowym wąskim gardłem.

Diana Kelley, CISO w Noma Security, uchwyciła sedno tego napięcia: "Szybszy kod to nie to samo co bezpieczniejszy kod" .

Jak faktycznie wygląda nadzór w praktyce

Recepta Black Duck nie jest abstrakcyjna. Raport wskazuje na zestaw konkretnych środków, które odróżniają 30% firm z pełnym nadzorem od reszty:

1. Ustrukturyzowane ramy zarządzania AI – nie nieformalne wytyczne, ale udokumentowane, egzekwowane polityki obejmujące zatwierdzanie narzędzi, przegląd wyników i odpowiedzialność
2. Bramki przeglądu zintegrowane z potokiem CI/CD – odejście od ręcznego przekazywania do kolejki testów bezpieczeństwa, z czego wciąż korzysta 46% firm, na rzecz zautomatyzowanych kontroli jakości i bezpieczeństwa uruchamianych przy każdym zatwierdzeniu kodu wspomaganym przez AI
3. Ciągłe monitorowanie po wdrożeniu – Black Duck zauważa, że "strategia polegająca wyłącznie na przesunięciu w lewo (shift-left) już nie wystarcza", ponieważ ryzyko jest wprowadzane, odkrywane i musi być zarządzane w całym cyklu życia oprogramowania
4. Racjonalizacja łańcucha narzędzi bezpieczeństwa – ponad 71% respondentów wskazało rozrost narzędzi (tool sprawl) jako główne źródło tarć, a konsolidacja na rzecz mniejszej liczby, lepiej zintegrowanych narzędzi jest warunkiem wstępnym bezpiecznego skalowania AI

Konkluzja

Raport Black Duck nie argumentuje przeciwko korzystaniu z asystentów AI w kodowaniu. Argumentuje, że korzystanie z nich bez proporcjonalnego nadzoru jest działaniem na własną szkodę. Kiedy 97% zespołów generuje kod z niespotykaną prędkością, ale tylko 30% ma infrastrukturę nadzorczą, aby nim zarządzać, branża zbiorowo wypisuje czeki bez pokrycia.

Korelacja między nadzorem a zyskami wydajności – 90% w porównaniu do 44% – czyni uzasadnienie biznesowe jednoznacznym. Organizacje, które najpierw zbudują barierki ochronne, przechwycą produktywność, którą obiecuje AI. Te, które tego nie zrobią, będą wielokrotnie odkrywać, że czas zaoszczędzony przy klawiaturze jest tracony w kolejce do przeglądu.