Claude Opus 5.5 y GPT-6-Sol empatan con un 73 % en seguridad

Veracode informó que Claude Opus 5.5 y GPT-6-Sol lograron un 73 % de aprobación en seguridad y un 100 % en sintaxis en su benchmark de octubre de 2026. La prueba evaluó tareas de código generado por IA; sus resultados describen ese conjunto de tareas, no la proporción de software en producción que es seguro. Veracode publicó los resultados el 29 de octubre.

Qué midió el benchmark

Veracode evaluó 18 modelos en Python, C#, JavaScript y Java, con pruebas sobre cuatro categorías de debilidades clasificadas como CWE: fallos criptográficos (CWE-327), inyección SQL (CWE-89), secuencias de comandos en sitios cruzados o XSS (CWE-80) e inyección en registros o logs (CWE-117). El análisis se realizó en octubre de 2026.

La puntuación de sintaxis refleja si el código generado puede analizarse correctamente; la de seguridad mide si las tareas superaron las comprobaciones de las categorías evaluadas. Por eso el 100 % en sintaxis de los dos modelos líderes convive con un 73 % en seguridad: que el código tenga una estructura válida no significa que supere esas pruebas de seguridad.

Resultados de los 18 modelos

Claude Opus 5.5 y GPT-6-Sol compartieron la mayor tasa de aprobación de seguridad, con Claude Sonnet 5.5 en tercer lugar. La clasificación completa de Veracode muestra que la puntuación de sintaxis también varía, aunque casi todos los modelos alcanzaron el 100 %.

Veracode también informó que la media de aprobación de seguridad pasó del 56 % en la instantánea anterior al 62 % en otoño, un aumento de seis puntos porcentuales. La media ofrece una referencia general del conjunto, pero las tasas por lenguaje y tipo de debilidad muestran diferencias importantes.

Diferencias por lenguaje y categoría de debilidad

En los resultados por lenguaje, Python registró la tasa más alta y Java la más baja. Son cifras del benchmark de Veracode, no una clasificación universal de la seguridad de esos lenguajes.

El cambio entre las mediciones de julio y octubre también fue desigual entre categorías. XSS subió de un 15 % a una media del 18 %; la inyección en logs pasó del 12 % al 12,6 %. Las cifras de criptografía y de inyección SQL apenas variaron en comparación.

Veracode atribuyó buena parte de la mejora a XSS, donde los patrones habituales de salida segura pueden ser más reconocibles. La empresa señaló que la inyección en logs requiere seguir el recorrido de los datos por el código, y que esa categoría apenas avanzó. Esa lectura ayuda a entender por qué una subida de la media no implica un progreso uniforme en todas las debilidades.

Qué dicen estas cifras sobre el código generado por IA

El 73 % de aprobación corresponde a las tareas de seguridad evaluadas por Veracode. No equivale a decir que el 73 % del código generado en aplicaciones reales sea seguro, ni que el resto de ese código tenga vulnerabilidades. La evaluación se hizo sin indicaciones específicas de seguridad; sus resultados se refieren a esa condición de prueba.

Para los equipos de desarrollo, la diferencia entre sintaxis y seguridad tiene una consecuencia concreta: un resultado que parece correcto y se ejecuta no sustituye las comprobaciones de seguridad. Veracode recomienda combinar la generación de código con pruebas de seguridad y corrección de los fallos detectados. Sus puntuaciones no representan resultados para otros prompts, flujos de agentes ni repositorios de producción.