Veracode rapporteerde voor zijn benchmark van oktober 2026 een beveiligings-passpercentage van 73% voor zowel Claude Opus 5.5 als GPT-6-Sol. Beide modellen kregen ook een syntaxis-score van 100%. Die cijfers beschrijven de uitkomsten op de geteste taken, niet het aandeel veilige software in productie. Veracodes benchmarkupdate bevat ook resultaten per programmeertaal en zwaktecategorie.
Wat Veracode heeft gemeten
Veracode publiceerde de resultaten op 29 oktober 2026 en zegt dat de analyse in oktober is uitgevoerd. Het bedrijf testte 18 modellen met Python, C#, JavaScript en Java op vier soorten softwarezwaktes: SQL-injectie (CWE-89), cryptografische zwaktes (CWE-327), cross-site scripting (XSS, CWE-80) en log-injectie (CWE-117).
De beveiligingsscore en syntaxis-score meten verschillende dingen. De syntaxis-score geeft aan of de gegenereerde code parseerbaar is. De beveiligingsscore gaat over het slagen voor beveiligingscontroles op de geselecteerde taken. Een syntaxis-score van 100% betekent dus niet dat de code ook alle beveiligingscontroles doorstaat.
De resultaten voor alle 18 modellen
Claude Opus 5.5 en GPT-6-Sol delen de hoogste beveiligingsscore. De volledige ranglijst laat zien dat syntaxis vaak goed scoort, terwijl de beveiligingspercentages verder uiteenlopen.
| Model | Beveiligings-passpercentage | Syntaxis-score |
| Claude Opus 5.5 | 73% | 100% |
| GPT-6-Sol | 73% | 100% |
| Claude Sonnet 5.5 | 72% | 99% |
| GPT-5.6-Sol | 70% | 100% |
| Grok 4.7 | 69% | 100% |
| Qwen 3.8-Max-0902 | 68% | 100% |
| Claude Sonnet 5 | 66% | 100% |
| GPT-6-Luna | 66% | 100% |
| GLM 5.3 | 64% | 100% |
| Gemini 3.8 Flash | 62% | 100% |
| Gemini 3.7 Flash | 60% | 100% |
| DeepSeek V4 Pro | 59% | 100% |
| Kimi K3 | 58% | 100% |
| Grok 4.6 | 58% | 100% |
| MiniMax M3 | 56% | 100% |
| Qwen 3.7-Max | 50% | 100% |
| Palmyra X5 | 50% | 91% |
| Nova 2 Lite | 44% | 100% |
Veracode rapporteerde een gemiddelde beveiligings-passrate van 62%, tegenover 56% in de eerdere momentopname van juli 2026. Dat is een stijging van 6 procentpunten. Het gemiddelde vat de resultaten samen, maar de uitsplitsingen per taal en zwaktecategorie laten zien hoe sterk de scores kunnen verschillen.
Scores per programmeertaal en zwaktecategorie
In Veracodes taalresultaten scoorde Python het hoogst en Java het laagst. De cijfers gelden voor de benchmarktaken, niet voor alle code die in die talen wordt geschreven.
| Programmeertaal | Beveiligings-passpercentage |
| Python | 64,22% |
| C# | 59,55% |
| JavaScript | 56,99% |
| Java | 31,00% |
Ook tussen de vier CWE-categorieën was de ontwikkeling ongelijk. CWE staat voor Common Weakness Enumeration, een indeling van softwarezwaktes. Veracode rapporteerde de grootste stijging bij cross-site scripting; bij log-injectie veranderde het percentage nauwelijks.
| CWE | Zwaktecategorie | Juli 2026 | Oktober 2026 |
| CWE-327 | Cryptografische zwaktes | 87% | 87,4% |
| CWE-89 | SQL-injectie | 83% | 83,7% |
| CWE-80 | Cross-site scripting (XSS) | 15% | 18% gemiddeld |
| CWE-117 | Log-injectie | 12% | 12,6% |
Veracode schrijft de grotere vooruitgang bij XSS toe aan herkenbare, veilige uitvoerpatronen. Log-injectie kan volgens het bedrijf meer contextueel redeneren over gegevensstromen vereisen. De categoriepercentages laten zien waar de benchmarkresultaten veranderden; Veracodes verklaring geeft de interpretatie van het bedrijf weer.
Wat de scores betekenen voor codebeoordeling
De 73% is het aandeel benchmarktaken waarop Claude Opus 5.5 en GPT-6-Sol de geselecteerde beveiligingscontroles doorstonden. Het is geen meting van welk aandeel AI-code in productie veilig is. Veracode meldde dat de code voor de geteste taken zonder specifieke beveiligingsinstructies werd gegenereerd. Dat resultaat zegt op zichzelf niets over andere prompts, een iteratieve agentworkflow of een productierepository.
Voor ontwikkelingsteams is de praktische les dat een werkende, parseerbare codebasis nog beveiligingscontrole nodig heeft. Veracode adviseert beveiligingsscans en herstelwerk naast het genereren van code. De benchmark laat zien waarom: zelfs de twee hoogst scorende modellen slaagden voor 73% van de beveiligingstaken, terwijl hun syntaxis-score 100% was.
