首先分享几个关键结论：尽管众多企业明文禁止，但AI编程工具实际上已成为开发团队的“必备工具”。云安全公司Checkmarx的全球调研揭示了一个颇具矛盾的现象——15%的公司明确禁止使用AI代码生成工具，然而99%的开发者依然在私下使用。原因很简单：在实际开发流程中，试图完全管控生成式AI的应用，其难度远超企业预期。

问题远不止“难以管控”。从调研数据来看，整个行业对AI工具的治理体系严重滞后。仅29%的公司建立了某种形式的治理框架，而70%的企业没有任何中央策略。采购决策往往由各部门临时拍板，缺乏统一的管理和评估标准。

随着AI编程工具的使用规模快速扩大，安全问题随之凸显。80%的受访者明确表示，他们担心开发者使用AI可能带来的潜在风险。其中，60%的人尤其忧虑AI的“幻觉”现象——即生成看似合理、实则含有错误的代码。

有趣的是，尽管存在上述担忧，行业对AI的信任度却并不低。47%的受访者愿意让AI在无人监督的情况下直接修改代码；而完全不相信AI安全措施的，仅占6%。这一比例已充分说明了问题。

Checkmarx的首席产品官Kobi Tzruya对此给出了直白点评：“全球CISO的反馈揭示了一个现实——开发者正在利用AI进行应用开发，但当前AI工具尚无法可靠地生成安全代码。这意味着，安全团队将不得不应对大量新产生的、可能存在漏洞的代码。”

微软的工作趋势指数报告也证实了类似情况：许多员工在官方未提供AI工具的情况下，会自行偷偷使用。更关键的是，他们往往不会公开讨论此事，这进一步加大了生成式AI在企业内部系统性落地的难度。