AI生成代码已成主流，软件测试方法与验收标准面临三重变化

AI 代码生成工具已经进入量产阶段，据 Veracode 2026 年 GenAI 代码安全报告，约 44% 的 AI 代码生成任务会引入已知安全漏洞，而模型平均安全通过率仅为 56%，与上一份报告基本持平。在已采用 AI 编程工具的企业里，AI 参与编写的代码占比已接近一半，但能够对 AI 生成内容做完整评审的团队却不足三成。这意味着软件测试的对象正在从”人写的代码”转向”机器生成、人复核的代码”，测试方法、覆盖标准和验收依据都需要随之调整。

AI 生成代码的风险特征：语法正确不代表语义正确

传统测试默认代码由人编写，缺陷集中在空指针、条件判断写反、变量名拼错这类”看得见”的错误上。AI 生成代码的缺陷分布完全不同。

缺陷从”语法层”上移到”规格层”

人类代码出错往往抛异常、跑不起来；AI 生成代码通常语法正确、能编译、能运行，却可能实现的是”它猜你想做的东西”，而不是你真正要的东西。Veracode 连续多轮测试显示，被测大模型生成语法正确代码的比例高达九成以上，但安全通过率长期徘徊在 56% 左右，验证了”语法问题已解决、安全问题没有”这一结论。

安全漏洞集中在数据流跨边界场景

漏洞类别也在迁移。跨站脚本、日志注入这类需要跨函数、跨文件追踪不可信输入的缺陷，是当前模型表现偏弱的部分，失败率显著高于 SQL 注入、弱加密这类”局部模式”问题。GitHub Octoverse 数据同样显示，越权访问（Broken Access Control）已取代注入类缺陷，成为开源仓库中排在前列的告警类别，被标记的仓库数超过 15 万个，同比上升明显。这提示测试团队需要把用例设计重心从”语法与逻辑错误”前移到”权限边界与数据流”。

同源盲区：用同一个模型测试它自己生成的代码

当同一个大模型既生成代码又生成测试用例时，两者共享同一套盲区，测试验证的是”代码实际做了什么”，而不是”代码应该做什么”。这正是 AI 代码测试中需要重点规避的陷阱。

AI 生成代码测试的三个新要求

面对上述风险特征，软件测试环节需要引入三项此前传统测试并不强调的要求。

覆盖标准上浮：单元测试覆盖率需高于人工代码

人工代码的单元测试覆盖率通常以 70% 到 80% 为参考线，AI 生成代码因缺陷更难被人工评审发现，行业建议将覆盖率门槛提升到 85% 以上。覆盖率的含义也从”行覆盖”扩展到对边界条件、异常路径和越权路径的针对性覆盖。

引入对抗式复核：用独立模型做第二道审查

对 AI 生成代码，仅靠原模型自检不可靠。行业做法是用独立提示词或独立模型做对抗式审查，专门追问边界条件、权限边界和隐藏假设，并把”记录生成该代码的模型与提示词”纳入流程，以便追踪与审计。

依赖与供应链核验：拦截幻觉依赖

AI 生成代码可能引用并不存在的第三方包，即”幻觉依赖”。研究显示商业模型生成不存在的包名比例平均不低于 5.2%，开源模型更高。软件测试与成分分析需增加依赖真实性核验，避免把漏洞或不存在的组件引入供应链。

大模型应用的测试依据如何选择：GB/T 25000.51 的适用边界

当被测对象从传统软件扩展到大模型应用时，测试依据的选用成为评测机构需要明确的问题。

国家标准 GB/T 25000.51-2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》为软件产品的质量要求与测试细则提供了依据：

“该标准确立了就绪可用软件产品（RUSP）的质量要求、测试文档集要求和符合性评价细则。”

对于以 AI 生成代码为主体的应用系统，功能正确性、安全性和易用性等传统质量特性仍可依据该标准展开测试；而对模型输出本身的不确定性、信心度、公平性等特性，则需补充模型评估与提示词回归测试等新手段，两者结合才能覆盖完整风险面。

软件测试团队的能力升级方向

AI 生成代码不会取代测试，反而放大了测试的价值。测试团队的转型方向集中在三处。

从”写用例”转向”写行为规格”

测试人员的核心产出从逐条手写用例，转向定义”正确的行为是什么”。由人定义行为规格、由 AI 生成实现与测试，是 AI 辅助开发下测试责任划分的主流模式。

从”功能验证”转向”风险治理”

AI 生成代码让”代码看起来经过测试、实则存在缺陷”的假象更普遍，测试需要承担起风险识别与治理职能，把资源优先投向高风险的越权路径、数据流边界和第三方依赖。行业数据也印证了这一点：采用 AI 辅助开发的企业，代码产出速率可提升数倍，但安全问题的引入速率上升更快，形成一种”交付越快、安全债越重”的隐患，治理能力成为测试团队的核心竞争力。

借助第三方测评机构补齐独立验证能力

对于需要交付验收报告或等保、CMA/CNAS 场景的项目，引入具备独立性的第三方软件测评机构对 AI 生成代码开展代码审计、安全测试与合规核验，能在生成代码速度远超人工复核速度的现实下，建立一道独立的质量与安全闸门。北京尚云（尚拓云测）在源代码审计与安全测试方向积累了对应实践，可为相关项目提供独立验证支持。