स्थिति का आकलन, आँकड़ों और स्रोतों के साथ
2026 तक कई स्वतंत्र अध्ययनों ने धारणाओं की बात करना छोड़कर मापना शुरू कर दिया. सबसे अधिक उद्धृत निष्कर्ष एक वाक्य में समा जाता है: अनुभवजन्य आकलनों के अनुसार एआई से बनाए गए बैकएंड कोड का केवल लगभग 35% ही एक साथ सुरक्षित और सही होता है. दूसरे शब्दों में, अधिकांश मामलों में तैयार किया गया कोड या तो गलत होता है, या कमज़ोर, या दोनों, तब भी जब वह “चलता हुआ” दिखता है.
कम से कम एक कमज़ोरी वाले कोड का हिस्सा अध्ययन के अनुसार 62% से 92% के बीच आँका गया है. यह एक विस्तृत सीमा है और इसे ऐसे ही पढ़ा जाना चाहिए: पद्धतियाँ अलग-अलग हैं (परखी गई भाषाएँ, कमज़ोरी की परिभाषा, मानी गई गंभीरता, प्रॉम्प्ट का संग्रह). इस सीमा का कोई अकेला आँकड़ा अध्ययन और उसकी पद्धति बताए बिना अलग से उद्धृत नहीं किया जाना चाहिए; ईमानदार जानकारी सीमा है, कोई एक बिंदु नहीं.
जोखिम काल्पनिक नहीं है. Georgia Tech का “Vibe Security Radar” 2026 की पहली तिमाही में एआई से बनाए गए कोड से जुड़े CVE में तेज़ बढ़ोतरी दर्ज करता है: जनवरी में 6, फ़रवरी में 15, मार्च में 35, यानी इन तीन महीनों में पूरे 2025 के कुल से भी अधिक.
धारणा की बात करें तो अविश्वास आँकड़ों का अनुसरण करता है: 87% डेवलपर कहते हैं कि वे एआई से बनाए गए कोड की विश्वसनीयता पर संदेह करते हैं. जो इसका सबसे अधिक उपयोग करते हैं, वे अक्सर पहले होते हैं जो इस पर आँख मूँदकर भरोसा नहीं करते.
ईमानदारी के नाते पद्धति संबंधी एक स्पष्टीकरण: यह संग्रह मुख्यतः औद्योगिक सुरक्षा शोध है, सुरक्षा कंपनियों की रिपोर्टें, ऑडिट, बेंचमार्क, न कि सहकर्मी-समीक्षित अकादमिक साहित्य का समुच्चय. इसमें वास्तव में अकादमिक केवल एक ही काम है (एक arXiv पेपर); बाकी उद्योग से आता है. इससे आँकड़े झूठे नहीं हो जाते, पर यह उन्हें उनके असली रूप में पढ़ने को बाध्य करता है: एक-दूसरे से मेल खाते स्वतंत्र मापन, न कि कोई जमा हुआ वैज्ञानिक सहमति.
इनमें से एक काम का नाम लेना ज़रूरी है, क्योंकि वह बहस को ठीक-ठीक ढाँचा देता है: स्वतंत्र बेंचमार्क Vibe-Eval (2026) कई आम जनरेटरों, Lovable, Bolt, Cursor, Replit, v0, की विफलता के तरीकों को एप्लिकेशन-सुरक्षा की कसौटियों पर सूचीबद्ध करता है. यह ठीक वही मैदान है जहाँ एक तिथि-अंकित रनटाइम सत्यापन प्रकाशित करने वाला इंजन भरोसे पर लौटने के बजाय सीधे तुलना में उतर सकता है.
- एआई से बनाए गए बैकएंड कोड का ~35% एक साथ सुरक्षित और सही होता है (अनुभवजन्य आकलन).
- बनाए गए कोड का 62% से 92% कमज़ोरियाँ रखता है, विस्तृत सीमा, भिन्न पद्धतियाँ.
- संबंधित CVE: 6 → 15 → 35 प्रति माह (जन. → मार्च 2026, Vibe Security Radar, Georgia Tech).
- 87% डेवलपर एआई से बनाए गए कोड की विश्वसनीयता पर संदेह करते हैं.
क्यों: एक प्रायिकतावादी मॉडल विश्वसनीय-सा कोड बनाता है, गारंटीशुदा नहीं
कारण संरचनात्मक है, अस्थायी नहीं. एक बड़ा भाषा मॉडल संदर्भ को देखते हुए सबसे संभावित टोकन बनाता है. कोड पर लागू करने पर यह सबसे संभावित अगली कड़ी देता है, ज़रूरी नहीं कि सही हो, न ही सुरक्षित. मॉडल के पास “यह स्कीमा कंपाइल होता है”, “यह क्वेरी पैरामीटरयुक्त है”, “यह एक्सेस नियंत्रण मौजूद है” जैसी कोई आंतरिक धारणा नहीं होती; उसके पास “इस तरह का कोड कैसा दिखता है” की धारणा होती है.
यही बात समस्या को कपटपूर्ण बनाती है: मतिभ्रमित कोड विश्वसनीय-सा लगता है. वह अच्छे से पढ़ा जाता है, कभी-कभी कंपाइल होता है, तैनात हो जाता है, और उपयोग में विफल होता है, या इससे भी बुरा, वह दिखने में चलता रहता है जबकि एक SQL इंजेक्शन, खुले रूप में पड़ा कोई गुप्त कुंजी-शब्द, या एक अनुपस्थित प्राधिकरण जाँच छोड़ देता है. अध्ययनों में दर्ज की गई बार-बार आने वाली खामियों की श्रेणियाँ (इंजेक्शन, गुप्त कुंजियों का बुरा प्रबंधन, इनपुट सत्यापन का अभाव, टूटा हुआ एक्सेस नियंत्रण) ठीक वही हैं जिन्हें मॉडल दोहराता है क्योंकि वे उसके प्रशिक्षण डेटा में भरपूर मौजूद हैं.
प्रॉम्प्ट में एक निर्देश जोड़ना (“सुरक्षित कोड लिखो”) प्रायिकताओं को खिसकाता है, पर वस्तु की प्रकृति नहीं बदलता: कुछ भी परिणाम की गारंटी नहीं देता, क्योंकि कुछ भी उसे जाँचता नहीं. एक निर्देश कोई प्रमाण नहीं है.
वह अंतर जो सब कुछ बदल देता है: एआई विनिर्देश लिखता है, एक बिल्डर कोड कंपाइल करता है
Blueprint Maker इसी अवलोकन से शुरू करता है और मॉडल से कोड लिखवाने से इनकार करता है. पाइपलाइन दो भूमिकाओं को अलग रखती है जिन्हें मिलाने के लिए कुछ भी बाध्य नहीं करता. एआई वही करता है जो वह सबसे बेहतर करता है: एक व्यावसायिक क्षेत्र को समझना और एक संरचित विनिर्देश तैयार करना, इकाइयों, संबंधों और नियमों की एक स्कीमा, JSON रूप में. वह डिज़ाइन करता है, कोड नहीं लिखता.
इसके बाद नियतिवादी बिल्डर, एक बार लिखे गए, परखे गए, संस्करणबद्ध, इस विनिर्देश को कोड में बदलते हैं: डेटाबेस स्कीमा, स्क्रीन, रूट, डैशबोर्ड. इसलिए कोड कभी LLM द्वारा “मतिभ्रमित” नहीं होता: वह एक ऐसे प्रोग्राम द्वारा बनाया जाता है जिसका व्यवहार ज्ञात है. घटकों के गुण अनुमानित नहीं होते, वे तय नियमों के अनुसार विनिर्देश से व्युत्पन्न होते हैं. इनपुट में वही विनिर्देश हमेशा आउटपुट में वही कोड देता है.
यह अलगाव जादुई ढंग से हर जोखिम को नहीं मिटाता, पर समस्या को वहाँ ले जाता है जहाँ वह संभालने योग्य है: यह उम्मीद करने के बजाय कि एक प्रायिकतावादी मॉडल ने हज़ारों अनूठी पंक्तियों में कोई खामी नहीं डाली है, हम रचना से ही यह सुनिश्चित करते हैं कि कोड के प्रतिमान (क्वेरी, फ़ॉर्म, नियंत्रण) एक ही, ऑडिट-योग्य जनरेटर से निकलें, जिसे एक बार में हमेशा के लिए ठीक किया जा सके.
- एआई → क्षेत्र को समझता है → एक विनिर्देश बनाता है (कोड नहीं).
- नियतिवादी बिल्डर → विनिर्देश को कंपाइल करते हैं → कोड बनाते हैं.
- कोड मॉडल द्वारा पंक्ति-दर-पंक्ति अनुमानित नहीं होता: वह एक ज्ञात प्रोग्राम द्वारा उत्पन्न होता है.
जवाबदेह बचाव: एक प्रकाशित रनटाइम सत्यापन (K-15 / Health Score)
अधिक सुरक्षित तरीके से कोड लिखना तब तक एक वादा ही रहता है जब तक उसे सिद्ध न किया जाए. निर्णायक अंतर यह कहने में नहीं कि “हमारा कोड भरोसेमंद है”, बल्कि उसे मापने और माप को प्रकाशित करने में है. Blueprint Maker द्वारा बनाया गया हर एप्लिकेशन एक स्वचालित रनटाइम सत्यापन से गुज़रता है, जिसे K-15 कहते हैं: कोड कंपाइल होता है, एप्लिकेशन सचमुच शुरू किया जाता है, फिर एक स्वचालित ब्राउज़र द्वारा स्क्रीन-दर-स्क्रीन घुमाया जाता है. कसौटी द्विआधारी है: वह चलता है, या नहीं चलता.
समग्र परिणाम, सात दिनों की एक सरकती खिड़की में इन सभी जाँचों को पास करने वाले एप्लिकेशनों का हिस्सा, Health Score नाम से प्रकाशित और तिथि-अंकित किया जाता है. यह एक जवाबदेह विश्वसनीयता मापदंड है: सत्यापन-योग्य, घोषणात्मक नहीं, एक स्वचालित न्यायाधीश द्वारा तैयार, न कि किसी विपणन दलील से.
यह ठीक वही है जो कोई भी विशुद्ध प्रायिकतावादी जनरेटर प्रकाशित नहीं करता, और एक बुनियादी कारण से: ऐसा माप तैयार करने के लिए हर आउटपुट को असली परिस्थितियों में परखने का एक नियतिवादी, पुनरुत्पाद्य तरीका चाहिए. जो पाइपलाइन मॉडल से कोड लिखवाकर उसे ज्यों का त्यों सौंप देती है, उसके पास दिखाने को कोई व्यवस्थित रनटाइम अवरोध नहीं होता. विश्वसनीयता के बारे में पारदर्शिता तभी संभव है जब विश्वसनीयता को मापे जाने के लिए ही रचा गया हो.
हमारी सीमाएँ, ईमानदारी से
एक रनटाइम सत्यापन यह सिद्ध करता है कि एक एप्लिकेशन बनता है, शुरू होता है और सही ढंग से घुमाया जा सकता है; यह “विश्वसनीय-सा पर टूटा हुआ कोड” वाली त्रुटियों की श्रेणी को काफ़ी घटाता है. यह किसी पूर्ण एप्लिकेशन सुरक्षा ऑडिट, किसी घुसपैठ परीक्षण, या किसी अनुपालन समीक्षा का स्थान नहीं लेता. Blueprint Maker आज तक किसी SOC 2 या ISO प्रमाणन का दावा नहीं करता: हम सौंपे गए उत्पाद के बारे में कुछ न कहने वाले किसी लोगो के बजाय एक असली, तिथि-अंकित मापदंड प्रकाशित करना पसंद करते हैं.
सही पठन यह है: एआई से बनाए गए कोड में भरोसे की एक मापी गई समस्या है; एकमात्र विश्वसनीय उत्तर कोई वादा नहीं बल्कि एक प्रकाशित सत्यापन है; डिज़ाइन (एआई) को निर्माण (नियतिवादी बिल्डर) से अलग करना इस सत्यापन को संभव और पुनरुत्पाद्य बनाता है. यह एक आधार है, कोई खुला अधिकार-पत्र नहीं, और यह उस आँकड़े से बेहतर है जिसे दिखाया नहीं जाता.
स्रोत
Cloud Security Alliance, Vibe Coding / AI Governance Gap: https://labs.cloudsecurityalliance.org/research/csa-research-note-vibe-coding-ai-governance-gap-20260602-csa/
The Security Crisis in AI-Generated Code (2026): https://blog.vibecoder.me/security-crisis-ai-generated-code-2026
IOActive, The Security Gap in AI-Generated Code: https://www.ioactive.com/wp-content/uploads/2026/05/IOA-The-Security-Gap-in-AI-Generated-Code.pdf
AppStuck, AI-Generated App Security Risks (2026): https://www.appstuck.com/blog/ai-generated-app-security-risks
Vibe-Eval, AI App Security Benchmark 2026: https://vibe-eval.com/data-studies/ai-app-security-benchmark-2026/
Sherlock Forensics, AI Code Security Report 2026: https://www.sherlockforensics.com/pages/ai-code-security-report-2026.html
OX Security, Vibe Coding Security: https://www.ox.security/blog/vibe-coding-security/
arXiv, Coding With AI: https://arxiv.org/pdf/2512.23982