随着企业竭力在开发速度与安全合规、运营效率之间寻求平衡，DevSecOps 行业格局正经历重大变革。Black Duck发布的《2025 年人工智能应用与风险平衡：全球 DevSecOps 现状》研究报告，为当下 DevSecOps 团队面临的挑战与发展机遇提供了关键洞察。

本报告基于对全球 1000 余名软件与安全专业人士的全面调研，深入剖析了开发速度与安全管控之间的固有矛盾、安全工具泛滥问题，以及人工智能在 DevSecOps 领域的双刃剑效应。

报告最引人注目的发现之一：当前企业代码部署节奏已达到极高频次。近60% 的企业每日甚至每日多次进行代码部署。但这种高速部署建立在脆弱的安全基础之上：企业安全成熟度普遍偏低，46% 的公司仍依赖人工流程将新代码纳入安全测试队列。

自动化能力缺失导致大量企业无法感知自身安全漏洞，62% 的企业对自身应用的安全测试覆盖率不足 60%。

久而久之，每一次版本发布都会不断累积安全技术债。企业一味追求上线速度，极易让软件暴露在各类网络威胁之下。这也凸显出：必须将安全流程深度融入软件开发生命周期。

为应对日益复杂的网络威胁，众多企业采用多工具并行的应用安全测试(AST)策略。但该做法引发了始料未及的负面后果：超 71% 受访者表示，安全告警中很大比例均为无效噪音—— 包括误报、告警信息模糊、不同工具重复告警等。

海量无效告警不仅拉低安全投入的投资回报率，还造成运营流程冗余，反而拖慢整体开发进度。

报告指出，五大主流应用安全测试工具的市场使用占比近乎持平，形成碎片化的应用安全测试生态。各类工具彼此孤立，各自拥有独立运维成本、应用程序接口(API)与告警格式，极大增加了 DevOps 团队的运维与处置难度。

鉴于无效告警普遍存在、人工测试流程依赖度高，业界自然产生思考：人工操作的繁琐是否加剧了告警噪音问题?又或是自动化程度提升反而掩盖了潜在告警噪音?答案取决于企业能否制定合理合规策略，并通过精细化自动化流程完成安全告警分级处置。

工具泛滥、无效告警带来的流程冗余，叠加对人工流程的过度依赖，直接背离了 DevOps高效交付的核心目标。超 81% 的 DevSecOps 从业者坦言，应用安全测试拖慢了开发进度。

对于重度依赖人工流程的企业而言，安全可控 + 高速迭代的 DevOps 理想始终难以落地。DevSecOps 中的安全(Sec) 环节不再是赋能引擎，反而沦为开发瓶颈，进而陷入恶性循环：采购更多安全工具→产生更多无效告警→依赖更多人工研判处置。

AI 编程助手、开源大模型已深度融入开发者日常工作。报告揭示了人工智能应用的矛盾现状：它既是提升安全能力的利器，也是催生新型、规模化安全风险的重要源头。

56% 受访者认为人工智能会带来全新安全风险，而63% 的受访者则认为 AI 能辅助编写更安全的代码。两项数据高度重合，意味着企业普遍愿意接纳 AI 风险、换取 AI 安全赋能价值。

人工智能的普及(包括影子 AI，即未经企业官方许可私自使用 AI 工具)带来了治理层面的挑战。尽管担忧 AI 生成代码的安全隐患，仍有89% 受访者自认有能力应对 AI 催生的新型安全问题。但结合当前企业工具链成熟度与人工流程现状来看，这种自信往往缺乏实际支撑。

报告强调，企业需从根本上转变应用安全建设思路。提升应用安全测试能力的首要任务，是深度融入开发工作流：摒弃独立零散的安全工具，转向可原生、深度嵌入研发流程的一体化安全平台。

针对报告揭示的行业痛点，企业应采取以下举措：

搭建完善的 AI 治理体系：明确 AI 使用规范、数据隐私保护及知识产权保护相关制度；

梳理并优化应用安全测试工具链：全面盘点现有工具，剔除冗余能力、减少无效告警，统一整合至支持 AI 赋能的研发交付流水线；

以开发者体验为核心建设安全能力：不只关注安全指标，更聚焦漏洞平均修复时长等开发者侧核心指标。

对于一线从业者，报告建议：推行一体化工具架构、量化安全误报带来的隐性成本、主动牵头推进安全合规的 AI 落地应用。

本次报告的发现对DevSecOps市场具有重大影响。对以下需求日益增长：

集成安全平台：企业逐步放弃多工具零散部署，转向可统筹管理全业务应用风险的统一安全平台；

AI治理工具：开发领域 AI 普及，将带动对 AI 代码可视管控、合规治理、安全检测类工具的需求；

以开发者为中心的安全解决方案：安全工具正向深度嵌入研发流程的方向演进，在保障安全底线的同时优化开发者使用体验。

参读链接：

https://www.cybersecurity-insiders.com/the-state-of-devsecops-navigating-speed-friction-and-ai/

ITPub博客

DevSecOps 现状：平衡开发速度、阻力与人工智能