No benchmark publicado pela Veracode em 29 de outubro de 2026, Claude Opus 5.5 e GPT-6-Sol empataram com 73% de aprovação nas verificações de segurança e 100% em sintaxe. A análise, realizada em outubro, avaliou 18 modelos em Python, C#, JavaScript e Java, considerando quatro categorias de fraqueza de software.
As duas pontuações medem coisas diferentes: a nota de sintaxe indica se o código é sintaticamente válido; a taxa de segurança registra o resultado nas verificações das categorias avaliadas. A Veracode informou que as tarefas foram executadas sem orientações específicas de segurança, segundo o comunicado da empresa.
Como ficaram os 18 modelos
A classificação completa mostra uma diferença de 29 pontos percentuais entre o maior e o menor resultado de segurança. Dez modelos chegaram a pelo menos 60%; na medição de julho, eram quatro. A média geral passou de 56% em julho para 62% em outubro, uma alta de seis pontos percentuais.
| Modelo | Aprovação em segurança | Pontuação de sintaxe |
| Claude Opus 5.5 | 73% | 100% |
| GPT-6-Sol | 73% | 100% |
| Claude Sonnet 5.5 | 72% | 99% |
| GPT-5.6-Sol | 70% | 100% |
| Grok 4.7 | 69% | 100% |
| Qwen 3.8-Max-0902 | 68% | 100% |
| Claude Sonnet 5 | 66% | 100% |
| GPT-6-Luna | 66% | 100% |
| GLM 5.3 | 64% | 100% |
| Gemini 3.8 Flash | 62% | 100% |
| Gemini 3.7 Flash | 60% | 100% |
| DeepSeek V4 Pro | 59% | 100% |
| Kimi K3 | 58% | 100% |
| Grok 4.6 | 58% | 100% |
| MiniMax M3 | 56% | 100% |
| Qwen 3.7-Max | 50% | 100% |
| Palmyra X5 | 50% | 91% |
| Nova 2 Lite | 44% | 100% |
As taxas mudam conforme a linguagem e a fraqueza
Por linguagem, Python teve a maior taxa de aprovação em segurança, com 64,22%. Java ficou em 31,00%.
| Linguagem de programação | Aprovação em segurança |
| Python | 64,22% |
| C# | 59,55% |
| JavaScript | 56,99% |
| Java | 31,00% |
CWE é uma classificação de tipos de fraqueza de software. Nos quatro grupos avaliados, a maior variação entre julho e outubro ocorreu em cross-site scripting (XSS). A taxa de injeção em logs mudou pouco, de 12% para 12,6%.
| Categoria | Julho de 2026 | Outubro de 2026 |
| CWE-327: fraquezas criptográficas | 87% | 87,4% |
| CWE-89: injeção de SQL | 83% | 83,7% |
| CWE-80: cross-site scripting (XSS) | 15% | 18% (média) |
| CWE-117: injeção em logs | 12% | 12,6% |
A Veracode atribui o avanço em XSS a padrões seguros de saída mais fáceis de reconhecer. Para a empresa, evitar injeção em logs exige acompanhar o fluxo dos dados, uma tarefa que permaneceu mais difícil nos resultados. Essa interpretação acompanha a diferença entre as categorias; os percentuais acima mostram as taxas reportadas para cada uma.
O que os resultados medem para as equipes
Os 73% dos líderes correspondem à aprovação nas tarefas de segurança do benchmark, que cobriu quatro categorias CWE e quatro linguagens. A pontuação de sintaxe é outra medida: um código pode passar pela verificação sintática e ainda não obter aprovação nas verificações de segurança.
Para equipes de desenvolvimento, a recomendação prática da Veracode é combinar a geração de código com análise de segurança e correção das falhas encontradas. A taxa média mais alta em outubro não substitui essas etapas, porque os resultados variaram entre linguagens e categorias.
