Veracode : deux modèles d’IA à 73 % en sécurité

Veracode a attribué à Claude Opus 5.5 et à GPT-6-Sol un taux de réussite en sécurité de 73 % et un score syntaxique de 100 % chacun dans son benchmark d’octobre 2026. Ces résultats portent sur des tâches de génération de code évaluées dans quatre langages et quatre catégories de faiblesses, pas sur la sécurité des logiciels en production. La mise à jour de Veracode a été publiée le 29 octobre 2026.

Ce que Veracode a évalué

Veracode a testé 18 modèles en Python, C#, JavaScript et Java, sur quatre catégories de faiblesses répertoriées dans la CWE, la classification Common Weakness Enumeration. L’analyse a été menée en octobre 2026. Les tâches ne comportaient pas de consignes spécifiquement consacrées à la sécurité.

Le taux de réussite en sécurité et le score syntaxique mesurent deux choses différentes. Le premier indique la réussite aux vérifications de sécurité retenues pour le benchmark. Le second évalue la syntaxe du code. Un score syntaxique parfait ne suffit donc pas à établir que le code passe les contrôles de sécurité.

Les 18 modèles classés par Veracode

Claude Opus 5.5 et GPT-6-Sol arrivent à égalité en tête pour la sécurité. Claude Sonnet 5.5 suit avec 72 %. Le classement complet fait aussi apparaître des écarts entre les scores de sécurité et de syntaxe.

La moyenne de réussite en sécurité est passée de 56 % dans le relevé précédent à 62 % dans celui d’octobre, soit une hausse de six points. Le taux de réussite seul masque toutefois de fortes différences selon le langage et la faiblesse testée.

Des résultats très différents selon le langage

Java affiche le taux de réussite en sécurité le plus faible des quatre langages évalués, à 31 %. Python atteint 64,22 %. Ces pourcentages décrivent les résultats de Veracode dans chaque langage au sein du benchmark.

La progression varie aussi selon la faiblesse testée

Entre les relevés de juillet et d’octobre 2026, les résultats ont le plus progressé pour le XSS, ou injection de scripts intersites. La moyenne du CWE-80 est passée de 15 % à 18 %. Le score du CWE-117, consacré à l’injection dans les journaux, n’a évolué que de 12 % à 12,6 %.

Veracode attribue l’écart entre XSS et injection dans les journaux au type de raisonnement demandé : les protections contre le XSS peuvent reposer sur des motifs de code reconnaissables, tandis que l’injection dans les journaux exige de suivre les données d’une fonction à l’autre pour comprendre où elles aboutissent. C’est l’interprétation de l’entreprise des résultats, et non une expérience distincte établissant leur cause.

Ce que le score indique pour les équipes

Le 73 % de Claude Opus 5.5 et de GPT-6-Sol correspond à leur taux de réussite aux tâches de sécurité du benchmark. Il ne mesure pas la proportion de code déployé qui serait sûr. Les résultats ne décrivent pas non plus ce que donneraient d’autres consignes, un processus d’agents itératif ou un dépôt logiciel de production.

Pour les équipes, la distinction pratique est nette : vérifier que le code s’exécute ou respecte la syntaxe ne remplace pas les contrôles de sécurité. Veracode recommande d’associer la génération de code à des vérifications de sécurité indépendantes et à la correction des failles détectées.