Nel benchmark Fall 2026, Veracode ha assegnato a Claude Opus 5.5 e GPT-6-Sol un tasso di superamento dei test di sicurezza del 73% e un punteggio sintattico del 100% ciascuno. L’aggiornamento è stato pubblicato il 29 ottobre 2026; i risultati riguardano le attività valutate nel benchmark, non la sicurezza del software in produzione. Nel rapporto Fall 2026 di Veracode, i punteggi cambiano sensibilmente secondo il linguaggio e la categoria di debolezza considerati.
Che cosa ha misurato Veracode
L’analisi, svolta nell’ottobre 2026, ha confrontato 18 modelli su codice generato in Python, C#, JavaScript e Java. Veracode ha valutato quattro categorie di debolezza identificate da codici CWE: SQL injection (CWE-89), debolezze crittografiche (CWE-327), cross-site scripting o XSS (CWE-80) e log injection (CWE-117).
Il punteggio sintattico misura se il codice generato può essere analizzato correttamente; il tasso di superamento di sicurezza riguarda invece i controlli sulle debolezze considerate. Sono misure diverse: un risultato sintattico del 100% non implica il superamento di tutti i controlli di sicurezza. Il comunicato di Veracode del 29 ottobre specifica che i test non includevano istruzioni specifiche sulla sicurezza.
La classifica dei modelli
Claude Opus 5.5 e GPT-6-Sol sono a pari merito al primo posto per tasso di superamento di sicurezza. Claude Sonnet 5.5 segue con il 72%; la classifica completa mostra un intervallo dal 73% al 44%.
| Modello | Superamento dei test di sicurezza | Punteggio sintattico |
| Claude Opus 5.5 | 73% | 100% |
| GPT-6-Sol | 73% | 100% |
| Claude Sonnet 5.5 | 72% | 99% |
| GPT-5.6-Sol | 70% | 100% |
| Grok 4.7 | 69% | 100% |
| Qwen 3.8-Max-0902 | 68% | 100% |
| Claude Sonnet 5 | 66% | 100% |
| GPT-6-Luna | 66% | 100% |
| GLM 5.3 | 64% | 100% |
| Gemini 3.8 Flash | 62% | 100% |
| Gemini 3.7 Flash | 60% | 100% |
| DeepSeek V4 Pro | 59% | 100% |
| Kimi K3 | 58% | 100% |
| Grok 4.6 | 58% | 100% |
| MiniMax M3 | 56% | 100% |
| Qwen 3.7-Max | 50% | 100% |
| Palmyra X5 | 50% | 91% |
| Nova 2 Lite | 44% | 100% |
Veracode ha riportato una media di superamento dei test di sicurezza del 62%, rispetto al 56% della rilevazione precedente: un aumento di sei punti percentuali. Questo dato aggregato non descrive da solo i risultati ottenuti nei singoli linguaggi.
Le differenze tra linguaggi e categorie CWE
Nel benchmark, Python ha registrato il tasso di superamento più alto tra i quattro linguaggi, mentre Java ha ottenuto il più basso.
| Linguaggio | Superamento dei test di sicurezza |
| Python | 64,22% |
| C# | 59,55% |
| JavaScript | 56,99% |
| Java | 31,00% |
Anche i risultati per categoria sono disomogenei. Tra luglio e ottobre, i valori sono saliti di poco per SQL injection, debolezze crittografiche e log injection; per XSS, Veracode riporta una media di ottobre del 18%.
| Categoria | Luglio 2026 | Ottobre 2026 |
| Debolezze crittografiche (CWE-327) | 87% | 87,4% |
| SQL injection (CWE-89) | 83% | 83,7% |
| Cross-site scripting (CWE-80) | 15% | 18% (media) |
| Log injection (CWE-117) | 12% | 12,6% |
Veracode attribuisce gran parte del miglioramento alla categoria XSS, dove ricorrono schemi di protezione più riconoscibili, e descrive la log injection come più legata al tracciamento dei dati nel codice. I valori mostrano andamenti diversi nelle categorie testate; questa spiegazione è l’interpretazione dell’azienda, non una prova sperimentale del meccanismo che li ha causati.
Come usare questi risultati nello sviluppo
Il 73% dei modelli in testa è un tasso di superamento delle attività del benchmark: non indica quale quota del codice in produzione sia sicura. Inoltre, i risultati non stabiliscono quale sarebbe l’esito con prompt diversi, flussi di lavoro con agenti o repository reali.
Per i team di sviluppo, il divario tra punteggio sintattico e sicurezza rende chiara una distinzione pratica: verificare che il codice sia valido non basta a valutarne la sicurezza. Veracode raccomanda di affiancare al codice generato verifiche di sicurezza indipendenti e la correzione dei problemi rilevati, come indicato nel comunicato diffuso dall’azienda.
