AI zmienia kierunek pracy z kodem
Jeszcze niedawno zakładano, że sztuczna inteligencja stanie się największym generatorem długu technicznego w historii programowania. Szybkie tworzenie kodu miało prowadzić do powstawania duplikatów, niespójnych abstrakcji, słabo przetestowanych zmian i fragmentów, których zespoły nie potrafiłyby później utrzymać. W 2026 roku coraz wyraźniej obserwowany jest jednak odwrotny proces. Modele i agenty AI zaczynają odnajdywać oraz naprawiać problemy pozostawiane przez ludzi przez wiele lat, dzięki czemu technologia oskarżana o zwiększanie chaosu może zostać wykorzystana do jego systematycznego ograniczania.
Stare błędy wracają do przeglądu
Jednym z najbardziej widocznych przykładów jest rozwój bezpieczeństwa Google Chrome. W wydaniach Chrome 149 i 150 usunięto łącznie 1072 błędy bezpieczeństwa, czyli więcej niż w poprzednich 23 głównych wersjach razem. Wśród wykrytych problemów znalazła się podatność umożliwiająca ucieczkę z sandboxa i odczytywanie lokalnych plików użytkownika przez wcześniej przejęty proces renderujący. Błąd pozostawał w kodzie przez ponad 13 lat, mimo że projekt był analizowany przez programistów, badaczy bezpieczeństwa, testy, fuzzery i narzędzia statyczne. Pokazuje to, że nawet bardzo dojrzałe zespoły nie są w stanie regularnie ponownie oceniać wszystkich dawnych decyzji w wielomilionowych bazach kodu.
Repozytorium przestaje być zamkniętą historią
Tradycyjnie stary kod analizowano ponownie dopiero po wystąpieniu awarii, wykryciu podatności albo zmianie odsłaniającej wcześniejszą wadę. Agent AI może natomiast cyklicznie przeglądać całe repozytorium po każdej poprawie modelu, dokumentacji lub narzędzi analitycznych. Oznacza to, że kod uznany wcześniej za sprawdzony nie musi pozostawać zamkniętym rozdziałem. Może zostać oceniony jeszcze raz z uwzględnieniem nowych metod, szerszego kontekstu oraz historii zmian. Maszynowy audyt nie zastępuje wcześniejszych kontroli, lecz pozwala powtarzać je na skalę trudną do osiągnięcia przez ludzi.
Model jest tylko częścią systemu
Skuteczność agentów nie wynika wyłącznie z możliwości samego modelu. W środowisku Chrome AI otrzymuje historię zmian Git, dane o wcześniejszych CVE, dokumentację bezpieczeństwa, granice zaufania, konwencje Chromium oraz dostęp do kompilatorów i testów. Jeden agent wyszukuje problemy, drugi krytycznie ocenia wyniki, a kolejne przygotowują warianty poprawek i testy regresyjne. Ostateczna decyzja pozostaje po stronie programisty, który może zmianę zaakceptować, poprawić albo odrzucić. Analiza odbywa się na ograniczonych maszynach z kontrolą ruchu sieciowego i dostępu do kodu. Nie jest to więc autonomiczne poprawianie projektu przez chatbot, lecz wieloetapowa fabryka napraw z jasno określonymi uprawnieniami.
Ten sam mechanizm daje przeciwne wyniki
Sztuczna inteligencja nie jest z natury ani producentem, ani narzędziem redukcji długu technicznego. Wzmacniany jest proces, do którego model zostaje podłączony, oraz wskaźniki przyjęte przez organizację. Gdy premiowana jest liczba zamkniętych zadań i wygenerowanych zmian, powstaje więcej kodu, w tym również niepotrzebnych warstw i trudnych w utrzymaniu zależności. Gdy celem staje się usuwanie ostrzeżeń, eliminowanie podatności, zwiększanie pokrycia testami albo migracja z przestarzałych API, AI zaczyna działać w przeciwnym kierunku. Najważniejsze są funkcja celu, dostępny kontekst, niezależna weryfikacja i pozostawienie odpowiedzialności po stronie człowieka.
Więcej wykrytych podatności oznacza nową presję
Rozwój agentów bezpieczeństwa powoduje gwałtowne zwiększenie liczby ujawnianych problemów. W lipcu 2026 roku duże organizacje technologiczne opisały około 2500 podatności o wysokim lub krytycznym poziomie zagrożenia. Nie musi to oznaczać nagłego pogorszenia jakości oprogramowania, ponieważ znaczna część błędów mogła istnieć wcześniej i pozostawać niewidoczna. Zwiększyła się przede wszystkim zdolność ich wyszukiwania, weryfikowania oraz klasyfikowania. Problem przesuwa się więc z samego odkrywania podatności na ustalanie priorytetów, przygotowywanie poprawek i dostarczanie ich użytkownikom przed wykorzystaniem przez atakujących. AI może odsłaniać techniczny rachunek szybciej, niż organizacje są w stanie go regulować.
Poprawka musi dotrzeć do użytkownika
Samo wykrycie błędu nie zapewnia bezpieczeństwa. Problem trzeba odtworzyć, sklasyfikować, przypisać do odpowiedniego komponentu, naprawić, pokryć testami, włączyć do stabilnego wydania i zainstalować na urządzeniu użytkownika. AI może wspierać niemal każdy element tego łańcucha, od odrzucania duplikatów po generowanie testów regresyjnych i wskazywanie właściciela kodu. Szybsze publikowanie zmian tworzy jednak lukę aktualizacyjną, ponieważ po udostępnieniu poprawki atakujący mogą odtworzyć pierwotną podatność. Z tego powodu przyspieszane są cykle wydań oraz mechanizmy aktualizacji działających procesów. Spłata długu technicznego kończy się dopiero wtedy, gdy bezpieczna zmiana rzeczywiście działa w środowisku użytkownika.
Największą wartość dają całe klasy napraw
Najważniejszym zastosowaniem AI nie musi być usuwanie pojedynczych usterek. Znacznie większe korzyści zapewnia rozpoznawanie wspólnego wzorca i eliminowanie całych kategorii problemów. W Chrome wspomagana analiza jest wykorzystywana między innymi podczas migracji starych konstrukcji wskaźnikowych do std::span, ograniczania błędów pamięci oraz wprowadzania Rust do szczególnie ryzykownych komponentów. Podobne podejście może służyć zwykłym zespołom do usuwania ostrzeżeń analizatorów statycznych, dodawania typów, aktualizowania bibliotek, generowania testów charakteryzacyjnych i porządkowania zależności. AI obniża koszt żmudnych modernizacji, które wcześniej przez lata przegrywały z funkcjami biznesowymi i kolejnymi terminami wydań.
Modernizacja staje się warunkiem rozwoju agentów
Stare systemy są jednocześnie celem napraw i przeszkodą w skalowaniu sztucznej inteligencji. Agenty nie mogą skutecznie działać, gdy dane są rozproszone, krytyczne operacje nie mają API, dokumentacja pozostaje nieaktualna, a reguły biznesowe istnieją wyłącznie w wiedzy pracowników. Organizacje chcące budować środowiska agentowe muszą wcześniej modernizować aplikacje, platformy danych i infrastrukturę rozwijaną przez dziesięciolecia. Nie oznacza to jednak końca długu technicznego. Pojawia się również dług danych, kontekstu, dokumentacji, orkiestracji agentów, uprawnień oraz zależności od konkretnych modeli i dostawców. Im szybciej AI potrafi wytwarzać zmiany, tym większego znaczenia nabierają testy, obserwowalność, kontrola dostępu i możliwość bezpiecznego wycofania decyzji.
