Linux Foundation publiceert studie over AI-code en reviewdruk

Linux Foundation Research publiceert op 9 november een studie over AI-code en softwarebeveiliging: 58% van 173 respondenten zegt dat code sneller wordt uitgeleverd dan beveiligingsreviews het tempo van hun team kunnen bijbenen.

Voor Nederlandse teams die AI-codeertools inzetten, verschuift de werkdruk naar de controlepunten rond samenvoegen en uitrollen. Als review, afhankelijkheidscontroles en patchvalidatie dezelfde capaciteit houden terwijl code sneller binnenkomt, kunnen ongecontroleerde wijzigingen zich opstapelen voordat ze in productie belanden.

De 58% is een enquêteresultaat

De studie omvat 308 gekwalificeerde cybersecurityprofessionals die werken bij organisaties en opensourceprojecten. Figuur 11 combineert antwoorden op twee enquêtevragen en gebruikt 173 reacties. De uitkomst dat een meerderheid sneller code uitlevert dan beveiligingsreviews kunnen beoordelen komt dus uit zelfrapportage. Het rapport telt geen pull requests, reviewminuten of openstaande kwetsbaarheden in repositories.

Het veldwerk liep in juni en juli 2026, via de mailinglijsten en sociale kanalen van Linux Foundation en onderzoekspartners. De methodetabel noemt een foutmarge van ±7% bij 95% betrouwbaarheid voor de totale steekproef van 308. Voor de 173 antwoorden uit figuur 11 staat geen aparte foutmarge vermeld. De studie geeft geen uitsplitsing voor Nederlandse bedrijven. Het cijfer is daarmee een signaal over de ervaren werkdruk onder een internationale groep vakmensen, geen meting van de reviewachterstand in een gemiddeld Nederlands bedrijf.

De gids legt de controlelus uit

De aankondiging van 9 november noemt de gids als nieuwe hulpbron, maar hij verscheen op 20 oktober. De gratis, toolonafhankelijke OpenSSF-gids beschrijft een vierfasenproces van voorbereiding en sandboxing tot menselijke controle. De gids ordent het werk in vier fasen: de aanpak kiezen, AI en werkomgeving voorbereiden, kwetsbaarheden vinden en verhelpen, en nieuwe fouten voorkomen.

De voorbereiding omvat logging, een dreigingsmodel, documentatie, CI/CD en afhankelijkheden. Een gevonden kwetsbaarheid valideren gebeurt als aparte stap na het vinden ervan. AI-patches mogen pas worden samengevoegd na automatische tests en menselijke collegiale beoordeling. Een opgeloste fout moet daarna een regressietest, regel voor statische analyse of fuzztest opleveren, zodat hij niet ongemerkt terugkeert. De aankondiging noemt ook een online cursus voor de komende maanden en een Secure AI Associate-certificering die in december 2026 moet starten.

AI-code vergroot ook de pakketlijst

De studie verbindt de reviewachterstand aan een tweede werkstroom: AI-codeertools voegen vaker externe pakketten toe. Zestig procent van de organisaties en projecten zegt dat zulke tools het aantal externe afhankelijkheden verhogen; 16% zegt dat het aantal daalt. Transitieve afhankelijkheden, pakketten die via andere pakketten meekomen, worden volgens de antwoorden in 53% van de gevallen beoordeeld. De onderliggende vragen hadden respectievelijk 176 en 153 reacties.

Dat maakt de controle van een wijziging breder dan de nieuwe regels code. Ook de herkomst, updategeschiedenis en indirecte pakketten komen in beeld. Een afzonderlijke Linux Foundation-studie schatte 52% tijdwinst bij code schrijven en 25% laagwaardige AI-bijdragen onder inkomende pull requests. Het codeertijdcijfer kwam uit 96 antwoorden; 111 maintainers gaven hun inschatting van AI-slop binnen de totale steekproef van 234 deelnemers. Bij grote projecten schatten maintainers het aandeel laagwaardige AI-pullrequests op 31%. Die vragen en deelnemers verschillen van de huidige reviewmeting, dus de oktoberstudie bevestigt de 58% niet.

Beveiligings-AI levert ook extra werk op

AI werkt in het rapport aan beide kanten van softwarebeveiliging. Respondenten schrijven AI-ondersteunde beveiligingstools ongeveer 30% van de gevonden kwetsbaarheden van het afgelopen jaar toe. 69% zegt dat zulke tools de beveiligingspositie merkbaar verbeterden. De bijbehorende infographic rondt dat aandeel af op 70%; de rapporttekst noemt 69%.

Tegelijk melden respondenten 17% meer snelheid bij beveiligingsontwikkeling, terwijl foutpositieven uit scantools de werklast met 30% verhogen. Tweeëntachtig procent is het ermee eens dat overmatig vertrouwen op AI de beveiligingsvaardigheden van ontwikkelaars verzwakt. Slechts 30% van de teams heeft een aparte AI-beveiligingsrol en ongeveer een derde formeel AI-beveiligingsbeleid. Teams met zo’n rol of beleid melden betere paraatheid bij alle onderzochte dreigingen, maar het onderzoek toont geen oorzakelijk verband.

Een afzonderlijke ProjectDiscovery-enquête onder 200 cybersecurityprofessionals bij organisaties met meer dan 500 medewerkers vond dat 66% meer dan de helft van hun werkweek besteedt aan het handmatig valideren en reproduceren van bevindingen voordat die worden geprioriteerd of doorgezet. Het veldwerk liep in februari en maart in Noord-Amerika en West-Europa; ProjectDiscovery verkoopt beveiligingssoftware. De enquête meet validatietijd, niet de snelheid van code-review. Het is daarom een parallel signaal over capaciteit, geen rechtstreeks vergelijkbare bevestiging van dezelfde reviewmeting.

Een concreet voorbeeld van AI als verdediging kwam op 4 november van OpenAI: de pijplijn reproduceerde 1.724 van 2.308 kandidaatmeldingen en genereerde 948 Linux-kernel-LPE-exploits. Menselijke onderzoekers beoordeelden de resultaten en rapporteerden kwetsbaarheden met kandidaatpatches aan onderhouders. De onderzoeksrun kostte $1.213.430 aan API-credits; het rapport rekent dat om naar $1.279 per unieke LPE. Die bedragen horen bij een onderzoeksrun, niet bij een aangeboden beveiligingsdienst.

Voor een Nederlandse softwareorganisatie hangt de opbrengst van AI-code mede af van de tijd die nodig is om wijzigingen, afhankelijkheden en patches te controleren. De Linux Foundation-studie beschrijft een zelfgerapporteerde achterstand in de zomer van 2026; de OpenSSF-gids zet de controlepunten op een rij. Of meer reviewcapaciteit, vaste tests en duidelijk eigenaarschap de wachtrij verkleinen, blijft een vraag voor vervolgmetingen.