Vendor Risk Assessment для AI-инструментов разработки: 30 вопросов к Cursor, Copilot, Claude Code и Replit
Как оценить реальный риск перед тем, как ваш код окажется в облаке вендора — и что делать, когда он уже там
Почему стандартный vendor assessment не работает для AI coding tools
Когда компания оценивает нового SaaS-вендора, она обычно спрашивает про SOC 2, шифрование, политику инцидентов, GDPR и условия хранения данных. Это правильно. Но для AI-инструментов разработки этот чеклист покрывает от силы треть реальных рисков.
Причина в том, что AI coding tool — это не просто SaaS-приложение, которое хранит данные. Это сущность, которая:
- получает фрагменты вашего исходного кода в реальном времени при каждом нажатии клавиши;
- способна читать файлы, запускать команды в терминале и делать сетевые запросы в agentic-режиме;
- потенциально использует ваш код для улучшения модели, если явно не выставлен privacy-режим;
- встраивает в воркфлоу сторонние расширения и MCP-серверы, каждый из которых — отдельный вектор риска;
- генерирует код, который может содержать уязвимости, лицензионно-несовместимые фрагменты или внедрённые бэкдоры.
Исследование Fortune из декабря 2025 года описывает показательный прецедент: в September 2025 году Fortune 50 enterprise, использующий AI coding assistants, фиксировал 10 000 новых security findings в месяц при четырёхкратном росте скорости разработки [1]. AI ускорил выпуск кода — и одновременно ускорил выпуск уязвимостей.
NIST AI RMF (версия 1.0, январь 2023, с Generative AI Profile от июля 2024) прямо говорит о необходимости включать third-party AI tools в программу оценки рисков [2]. Стандарт описывает четыре функции: Govern, Map, Measure, Manage — и третья сторона (вендор) участвует во всех четырёх.
Ниже — структурированный набор из 30 вопросов, разбитых по семи доменам, с пояснением, что именно проверяет каждый вопрос и как отвечают на него четыре наиболее популярных инструмента в 2025–2026 году.
Домен 1. Обработка и хранение кода (вопросы 1–6)
Это самый критичный домен. Именно здесь определяется, что физически происходит с вашим исходным кодом в момент использования инструмента.
Вопрос 1. Какой код и в каком объёме передаётся на серверы вендора при работе инструмента?
Это не риторика. Разные инструменты отправляют принципиально разный объём данных. Cursor в baseline-режиме отправляет фрагменты активного файла для inline autocomplete — согласно документации, порядка 100–300 строк в момент запроса [3]. В режиме Codebase Indexing инструмент индексирует весь проект локально, но векторные представления кода могут отправляться на серверы для поиска. GitHub Copilot в Business/Enterprise тарифе отправляет фрагменты открытого файла и соседних вкладок. Claude Code при web execution запускает сессии в изолированных виртуальных машинах Anthropic [4].
Правильный ответ от вендора: точное описание того, что именно, при каком событии и в каком размере отправляется. Если ответ звучит как "минимально необходимые данные" без деталей — это красный флаг.
Вопрос 2. Используется ли ваш код для обучения моделей? Если да — при каких условиях и как от этого отказаться?
Это вопрос с принципиально разными ответами у разных вендоров.
Cursor: при включённом Privacy Mode — нет, ни Cursor, ни model providers не используют код для обучения. При отключённом — код, промпты и действия могут использоваться. Принципиально важно: аккаунты, созданные до 15 октября 2025 года, не передают данные model providers без явного согласия [5].
GitHub Copilot Business/Enterprise: не использует код пользователей для обучения — это задокументировано в официальной политике и подтверждено SOC 2 [6].
Claude Code (API-режим): данные не используются для обучения по умолчанию, API logs до сентября 2025 хранились 30 дней, после — сокращены до 7 дней [7]. Enterprise-клиенты могут запросить Zero Data Retention.
Replit: для Enterprise-аккаунтов код не используется для обучения. Для публичных Repls — используется в анонимизированном виде [8].
Вопрос 3. Где физически хранится код: в каком регионе, на какой инфраструктуре?
Вопрос data residency критичен для компаний под GDPR, российским 152-ФЗ и отраслевыми требованиями (банки, здравоохранение, defence). Replit хранит данные в Google Cloud Platform в США, с опциональным регионом в Индии [9]. GitHub Copilot Enterprise предоставляет EU-регион. Claude Code обрабатывает данные через инфраструктуру Anthropic; для Bedrock/Vertex AI — в соответствующих облачных регионах.
Если вы работаете с данными, имеющими требования к резидентности, — у вендора должен быть конкретный ответ про Data Processing Agreement (DPA), регион хранения и возможность его выбора.
Вопрос 4. Какой период хранения данных? Как реализовано удаление?
Cursor: при Privacy Mode — zero data retention у model providers. Cursor может хранить часть данных для дополнительных функций. Промпты хранятся 30 дней исключительно для safety monitoring [10].
GitHub Copilot: в рамках Business/Enterprise — задокументировано в SOC 2 Type II (отчёт охватывает период с апреля по сентябрь 2024) [11].
Claude (API): до 14 сентября 2025 — 30 дней; после — 7 дней. Enterprise с ZDR — без постоянного хранения [7]. Данные, помеченные safety-системами, могут храниться до 2 лет.
Вопрос 5. Есть ли режим Zero Data Retention (ZDR)? Как его активировать и верифицировать?
ZDR — это контрактная и техническая гарантия того, что после ответа сервера данные не записываются в постоянное хранилище. Антропик предлагает ZDR для Enterprise-клиентов как опциональный аддендум к DPA [4]. Cursor декларирует ZDR у model providers в Privacy Mode [5]. Вопрос верификации — отдельный: как вы технически убеждаетесь, что ZDR работает? Аудиторский отчёт или логи недоступны в real-time.
Вопрос 6. Что происходит с данными при расторжении контракта? Есть ли процедура data export и гарантия deletion?
Стандартный контрактный вопрос, который часто упускают при оценке AI tools. У Anthropic и GitHub есть документированные процедуры. У Cursor — уточняйте в Enterprise-контракте.
Домен 2. Сертификаты и соответствие стандартам (вопросы 7–12)
Вопрос 7. Какие независимые аудиты и сертификаты есть у вендора? SOC 2, ISO 27001, другие?
Cursor: SOC 2 упоминается в Trust Center, информация доступна через trust.cursor.com [3].
GitHub Copilot: SOC 2 Type I (весна 2024), SOC 2 Type II — с покрытием апрель–сентябрь 2024, опубликован декабрь 2024 [11]. ISO 27001 — с мая 2024. TISAX AL2 — для automotive-сегмента.
Claude/Anthropic: SOC 2 Type 2, ISO 27001 — доступны в Anthropic Trust Center [4].
Replit: SOC 2 Type 2 Attestation, инфраструктура на GCP (ISO 27001, SOC 2) [9].
Вопрос 8. Доступны ли отчёты аудиторов (SOC 2 report) по NDA-запросу?
Это практический вопрос: наличие сертификата ≠ доступность отчёта. GitHub предоставляет SOC 2-отчёты через Trust Center (требуется регистрация). Anthropic — через аналогичный Trust Center. Уточняйте у каждого вендора формат предоставления.
Вопрос 9. Соответствует ли инструмент требованиям GDPR? Есть ли DPA?
Все четыре вендора декларируют GDPR-совместимость. Replit предоставляет DPA на repl.it/site/dpa [10]. Anthropic — DPA для коммерческих клиентов. GitHub — в рамках Microsoft GDPR-программы. Cursor — уточняйте для Enterprise.
Важная оговорка: в сентябре 2025 года независимые юристы публично критиковали UI opt-in Anthropic как потенциально нарушающий GDPR ("dark pattern") [12]. Регуляторных санкций на май 2026 не было, но риск претензий сохраняется.
Вопрос 10. Есть ли BAA для HIPAA-совместимого использования?
Claude Enterprise: BAA доступен, ZDR-режим для PHI [12]. GitHub Copilot Enterprise: уточняйте через Microsoft HIPAA-программу. Replit: не является HIPAA-compliant, BAA не подписывает [13]. Это критичный факт для healthcare-команд. Cursor: данные не найдены в открытых источниках. Требуется прямой запрос.
Вопрос 11. Есть ли пенетрационное тестирование? Когда проводилось последнее? Доступны ли результаты?
Вопрос, который регулярно упускают. Наличие SOC 2 не означает регулярного pentest. У Cursor подтверждены публичные CVE (2025): CVE-2025-54135 (CurXecute) и CVE-2025-54136 (MCPoison) — оба через MCP-серверы [3]. Это не обязательно плохой знак: уязвимости были публично раскрыты и запатчены в версии 1.3.9. Хороший знак — прозрачное vulnerability disclosure. Плохой знак — отсутствие канала для сообщений об уязвимостях.
Вопрос 12. Есть ли у вендора программа bug bounty или ответственного раскрытия?
Cursor: security-reports@cursor.com [3]. Anthropic: имеет программу через HackerOne. GitHub: давний участник bug bounty. Replit: уточняйте.
Домен 3. Контроль доступа и идентификация (вопросы 13–16)
Вопрос 13. Поддерживается ли SSO (SAML/OIDC) и SCIM для управления пользователями?
Без SSO невозможно централизованное управление доступом и быстрый offboarding. Claude Enterprise: SAML/OIDC через WorkOS, SCIM [4]. GitHub Copilot Enterprise: SAML SSO, SCIM, интеграция с GitHub Enterprise. Cursor Enterprise: SSO упоминается в документации, детали — по запросу. Replit Teams: SSO для enterprise-тарифа.
Вопрос 14. Какая модель разграничения прав внутри организации? Есть ли RBAC?
Кто может устанавливать расширения? Кто управляет policy? Кто видит audit logs? Для GitHub Copilot Enterprise — детализированный RBAC через GitHub организационные настройки. Для Claude — через Admin API (25 endpoints) [4]. Cursor — через организационные настройки Enterprise-плана.
Вопрос 15. Как инструмент аутентифицирует запросы к внешним системам в agentic-режиме?
В agentic-режиме инструмент может делать вызовы к базам данных, API и облачным сервисам. Вопрос: чьи credentials при этом используются, как они хранятся и ротируются? Claude Code: multiple short-lived credentials, scoped to single purposes, expiring independently [4]. Cursor: в agentic-режиме доступ к внешним системам через MCP-серверы; credentials в mcp.json — отдельная зона риска (вектор атаки CVE-2025-54135).
Вопрос 16. Есть ли возможность ограничить использование инструмента конкретными репозиториями или проектами?
Принцип наименьших привилегий применим и к AI-инструментам. Не все вендоры позволяют гранулярно ограничить доступ к коду на уровне репозитория.
Домен 4. Agentic-режим и поверхность атаки (вопросы 17–20)
Это самый быстро меняющийся и наименее изученный домен vendor risk.
Вопрос 17. Что именно может делать инструмент в автономном (agentic) режиме? Какие системные разрешения он запрашивает?
Agentic AI coding tools — это уже не просто autocomplete. Cursor в agentic-режиме может читать файлы, выполнять shell-команды, взаимодействовать с MCP-серверами. Claude Code: read-only по умолчанию, дополнительные действия (edit, run, execute) требуют явного подтверждения [4]. GitHub Copilot Workspace: управляемое планирование и выполнение задач.
Правило: чем шире agentic-доступ — тем строже должен быть governance вокруг него.
Вопрос 18. Как инструмент защищён от prompt injection из кода в репозитории?
Это подтверждённый вектор атаки. OX Security в мае 2026 опубликовал исследование, в котором Cursor, VS Code, Claude Code и Gemini-CLI признаны уязвимыми к MCP-based prompt injection [14]. GitHub Copilot CVE-2025-53773 демонстрирует цепочку: вредоносный комментарий в коде → модификация .vscode/settings.json → arbitrary code execution [15]. Trail of Bits в августе 2025 показал, что атакующий может встроить невидимые инструкции в HTML GitHub-страницы, которые будут исполнены агентом [1].
Вопрос к вендору: какие меры защиты от indirect prompt injection существуют? Как они тестируются?
Вопрос 19. Как управляется список разрешённых MCP-серверов? Проверяет ли вендор сторонние MCP на безопасность?
OX Security успешно "отравил" 9 из 11 MCP-реестров тестовым вредоносным сервером [14]. Claude Code прямо указывает в документации: Anthropic проверяет коннекторы по критериям листинга, но не проводит security-аудит каждого MCP-сервера [4]. Cursor: .cursor/mcp.json в репозитории — вектор командной компрометации (MCPoison, CVE-2025-54136) [16].
Правило: разрешённые MCP-серверы должны управляться на уровне организационной политики, а не на уровне каждого разработчика.
Вопрос 20. Есть ли audit log действий инструмента в agentic-режиме? Как долго хранится?
Для compliance, forensics и incident response нужна полная история того, что делал агент: какие файлы читал, какие команды выполнял, к каким API обращался. Это требование часто не покрывается стандартным SOC 2.
Домен 5. Интеллектуальная собственность и лицензионные риски (вопросы 21–24)
Вопрос 21. Кто является правообладателем кода, сгенерированного инструментом?
Юридическая ситуация на 2025–2026 год: в США AI-сгенерированный код без достаточного человеческого вклада не является охраноспособным произведением. D.C. Circuit в 2025 году подтвердил, что AI не может быть автором или изобретателем [17]. US Copyright Office в январе 2025 года зафиксировал: защита возникает только при достаточном человеческом творческом вкладе [18].
Что это означает практически: если разработчик принял AI-предложение без существенной модификации — право собственности компании на такой код юридически неочевидно.
Вопрос 22. Предоставляет ли вендор indemnification при претензиях по нарушению авторских прав третьих лиц?
GitHub Copilot: Copilot Copyright Commitment — Microsoft берёт на себя защиту от претензий при соблюдении условий использования. Cursor: уточняйте в Enterprise-контракте. Anthropic/Claude Code: данные не найдены в открытых источниках по состоянию на май 2026. Это существенный пробел для компаний с IP-чувствительными продуктами.
Дело Doe v. GitHub ещё находится в апелляционном рассмотрении в 9-м округе [19]. Исход повлияет на отраслевые стандарты indemnification.
Вопрос 23. Как инструмент обрабатывает фрагменты open-source кода? Есть ли фильтрация лицензионно-несовместимых предложений?
Около 35% образцов AI-сгенерированного кода содержат лицензионные несоответствия [20]. GitHub Copilot имеет фильтр duplication detection, блокирующий точные совпадения с публичным кодом. Для остальных инструментов — уточняйте наличие аналогичного фильтра.
Вопрос 24. Может ли ваш код повлиять на генерации для других пользователей? Обеспечена ли cross-tenant изоляция на уровне модели?
Это тонкий, но существенный вопрос: теоретически, если модель дообучается на коде клиента A, алгоритмы клиента A могут "всплыть" в предложениях для клиента B. GitHub Copilot в Enterprise-тарифе декларирует отсутствие такого влияния. Augment Code даёт юридически обязывающую гарантию: "We never train on customers' proprietary code" [21].
Домен 6. Безопасность генерируемого кода (вопросы 25–27)
Вопрос 25. Какова частота security-уязвимостей в коде, генерируемом инструментом? Есть ли независимые исследования?
По данным MintMCP (2025), 29.1% AI-сгенерированного Python-кода содержит security weaknesses включая SQL injection, XSS и authentication bypass [22]. Black Duck (2025) фиксирует: 85% организаций используют AI в разработке, но только часть мониторит качество генерируемого кода [23].
Правило: "инструмент работает" ≠ "инструмент генерирует безопасный код". Это разные вещи. Рабочий PR не обязательно безопасен.
Вопрос 26. Как инструмент обрабатывает secrets (API-ключи, пароли) в контексте?
Риск двусторонний: инструмент может случайно включить secrets из контекста в генерируемый код; или secrets могут утечь через промпт на серверы вендора. Вопрос к вендору: есть ли автоматическое обнаружение и маскирование secrets в отправляемых данных?
Вопрос 27. Есть ли у инструмента встроенная проверка зависимостей на известные уязвимости?
AI-инструменты нередко предлагают устаревшие или уязвимые библиотеки — особенно при "галлюцинировании" имён пакетов. Package hallucinations (предложение несуществующих пакетов, которые злоумышленник может зарегистрировать) — задокументированный вектор атаки. Встроенный SCA/advisory check у большинства инструментов отсутствует: это зона ответственности дополнительных инструментов в pipeline.
Именно здесь появляется точка, где дополнительный слой контроля на уровне PR и релиза — а не в IDE — может существенно снизить риск: проверить зависимости, конфиги, secrets и lock-файлы до слияния, пока изменение ещё не ушло в main.
Домен 7. Операционная устойчивость и условия контракта (вопросы 28–30)
Вопрос 28. Каков SLA на доступность сервиса? Есть ли публичный status page и история инцидентов?
AI coding tools — это dependency на внешний сервис в критическом процессе разработки. Недоступность инструмента блокирует разработчиков, привыкших работать с AI-ассистентом. Все четыре вендора имеют status pages. Уточняйте SLA и компенсации при нарушении.
Вопрос 29. Что происходит с данными и доступом при банкротстве или поглощении вендора?
Cursor — стартап (Anysphere Inc.) с ~$500M ARR к середине 2025 [3]. Это не означает нестабильности, но означает другой профиль риска по сравнению с Microsoft (GitHub Copilot) или Anthropic. Для Enterprise-контрактов: убедитесь, что есть data portability clause и процедура при change of control.
Вопрос 30. Как организован процесс уведомления об изменениях в политике обработки данных?
Anthropic в сентябре 2025 изменил политику для consumer-пользователей, введя opt-in для обучения. Это было встречено критикой за нечёткий UI [12]. Вопрос не в том, плохое или хорошее изменение — вопрос в том: насколько быстро ваша команда узнает об изменениях, влияющих на данные? Есть ли в контракте требование уведомления за N дней?
Сравнительный профиль: что мы знаем о четырёх инструментах
Не таблица — краткое резюме по каждому инструменту на основе публичной документации по состоянию на май 2026.
GitHub Copilot (Business/Enterprise)
Самый зрелый сертификационный профиль: SOC 2 Type II, ISO 27001, TISAX AL2, EU-регион для Enterprise. Copilot Copyright Commitment снижает IP-риск. Не использует код Enterprise-клиентов для обучения. Задокументированные CVE: CVE-2025-53773 (prompt injection через комментарии в коде) [15]. SAML SSO, SCIM, детальный audit log.
Cursor
Наиболее гибкий по Privacy Mode — при активации ZDR у всех model providers. Активно растёт (tens of thousands of enterprises к 2025 [3]). Имеет опубликованные CVE: CVE-2025-54135, CVE-2025-54136 — оба запатчены в 1.3.9. Сертификационный профиль менее прозрачен, чем у GitHub. Enterprise-контракт требует отдельного изучения. MCP-архитектура расширяет поверхность атаки.
Claude Code (Anthropic)
Сильная позиция по data не использования для обучения: API-данные по умолчанию не идут в training. ZDR доступен для Enterprise. SOC 2 Type 2, ISO 27001. Уязвим к MCP prompt injection в agentic-сценариях (подтверждено OX Security, май 2026 [14]). Хорошая документация по security архитектуре. BAA для HIPAA.
Replit
SOC 2 Type 2. Не HIPAA compliant, BAA не подписывает [13]. Публичный код используется для AI-обучения (анонимизированно); Enterprise-код — нет [8]. DPA доступен. Инфраструктура на GCP (США, опционально Индия). Хорошо подходит для не-regulated индустрий, прототипирования, education. Для финансов, здравоохранения, defence — требует дополнительного анализа.
Как использовать эти 30 вопросов на практике
Vendor risk assessment для AI coding tools — это не разовая процедура. Это живой процесс, потому что вендоры меняют политики, выходят новые CVE и появляются новые функции (agentic, MCP, web execution).
Рекомендуемый подход:
- Разделите 30 вопросов на три уровня приоритета. Блокирующие (требуют ответа до внедрения): вопросы 1–2, 7, 10, 17–19. Существенные (требуют ответа до масштабирования): 3–6, 8–9, 11–13, 21–23. Плановые (мониторинг и governance): 14–16, 20, 24–30.
- Не спрашивайте вендора — читайте первоисточники. Политики данных, security pages и DPA — публичные документы. Ответы вендора на vendor questionnaire могут расходиться с тем, что написано в их ToS. Проверяйте оба.
- Разделяйте тарифы. Consumer/free-tier и Enterprise — принципиально разные продукты с разной моделью данных. Claude Pro ≠ Claude Enterprise. GitHub Copilot Individual ≠ GitHub Copilot Business. Оценивайте тот продукт, который реально будет использоваться.
- Включайте MCP и плагины в scope оценки. Большинство vendor assessment игнорируют экосистему расширений. Это ошибка: компрометация MCP-сервера эквивалентна компрометации самого инструмента.
- Не принимайте "мы безопасны" без артефактов. Запрашивайте: SOC 2 report (по NDA), последний pentest summary, процедуру vulnerability disclosure, список подтверждённых CVE и статус патчей.
- Установите процедуру мониторинга изменений. Подпишитесь на security bulletins вендоров. Включите пересмотр vendor assessment в ежегодный календарь (или при выходе major updates инструмента).
Ошибки, которые делают при оценке AI coding tools
Ошибка 1: принять наличие SOC 2 как достаточное. SOC 2 — это аудит контролей, не гарантия отсутствия уязвимостей. Cursor имеет SOC 2 и одновременно имел CVE с RCE-потенциалом.
Ошибка 2: не различать "инструмент безопасен" и "код, который он генерирует, безопасен". Это два совершенно разных вопроса.
Ошибка 3: оценить инструмент один раз при внедрении и забыть. Политики данных меняются. Anthropic изменил свою в сентябре 2025. Вы должны это знать, а не узнавать случайно.
Ошибка 4: не учитывать shadow AI. Исследование Black Duck (2025) показывает: 11% организаций знают или подозревают, что AI используется, но не мониторят это [23]. Инструменты без официального одобрения часто работают в режимах с меньшими privacy-гарантиями.
Ошибка 5: игнорировать agentic-сценарии при оценке non-agentic использования. Инструменты добавляют agentic-функции в обновлениях. Если сегодня ваша команда использует только autocomplete — завтра может использовать автономные агенты с доступом к терминалу и API.
Заключение: что делать дальше
Vendor risk assessment для AI coding tools — это технический, юридический и операционный процесс одновременно. Он требует участия AppSec, legal, CISO и инженерных лидов.
30 вопросов выше — это минимальный baseline для осознанного решения о внедрении. Ни один из рассмотренных инструментов не является "универсально безопасным" или "универсально опасным". Каждый имеет конкретный профиль рисков, который нужно сопоставить с контекстом вашей организации: типом данных, индустрией, требованиями регуляторов и моделью разработки.
Следующий шаг — не ждать идеального vendor. Ни один не будет идеальным. Следующий шаг — выстроить компенсирующие контроли: policy на уровне организации, мониторинг того, что именно уходит в AI-инструменты, проверку того, что возвращается в коде до merge и релиза.
AI уже ускорил разработку. Контроль качества и безопасности изменений должен поспевать за этим ускорением — иначе скорость работает против вас.
Источники
[1] Fortune — "AI coding tools exploded in 2025. The first security exploits show what could go wrong" — https://fortune.com/2025/12/15/ai-coding-tools-security-exploit-software/
[2] NIST — "AI Risk Management Framework" — https://www.nist.gov/itl/ai-risk-management-framework
[3] TrueFoundry — "Cursor Security: Risks, Privacy & Best Practices" — https://www.truefoundry.com/blog/cursor-security
[4] Anthropic — "Security – Claude Code Docs" — https://code.claude.com/docs/en/security
[5] Cursor — "Data Use & Privacy Overview" — https://cursor.com/data-use
[6] GitHub — "GitHub Trust Center" — https://github.com/trust-center
[7] DataStudios — "Claude: data retention policies, storage rules, and compliance overview" — https://www.datastudios.org/post/claude-data-retention-policies-storage-rules-and-compliance-overview
[8] Replit — "How Replit makes sense of code at scale" — https://blog.replit.com/how-replit-makes-sense-of-code-at-scale-ai-data
[9] Replit — "Information Security" — https://docs.replit.com/teams/information-security/overview
[10] Replit — "Privacy Policy" — https://replit.com/privacy-policy
[11] GitHub — "The latest GitHub and GitHub Copilot SOC reports are now available" — https://github.blog/changelog/2024-12-06-the-latest-github-and-github-copilot-soc-reports-are-now-available/
[12] Anonyome — "Claude privacy: How Anthropic handles your data" — https://anonyome.com/knowledge-center/ai-privacy/claude-privacy/
[13] Paubox — "Is Replit.com HIPAA compliant? (2025 update)" — https://www.paubox.com/blog/is-replit.com-hipaa-compliant-2025-update
[14] OX Security — "The Mother of All AI Supply Chains: Critical, Systemic Vulnerability at the Core of Anthropic's MCP" — https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/
[15] MDPI — "Prompt Injection Attacks on Agentic Coding Assistants: A Systematic Analysis" — https://arxiv.org/html/2601.17548v1
[16] MintMCP — "Cursor security: complete guide to risks, vulnerabilities & best practices" — https://www.mintmcp.com/blog/cursor-security
[17] MovingAvg — "AI IP Risk Assessment: Free Checklist for Leaders" — https://www.movingavg.com/ai-ip-risk-assessment.html
[18] S. Horowitz & Co. — "AI-Assisted Coding: Intellectual Property and Hidden Risks" — https://s-horowitz.com/ai-assisted-coding-innovation-intellectual-property-and-hidden-risks/
[19] MBHB — "Navigating the Legal Landscape of AI-Generated Code: Ownership and Liability Challenges" — https://www.mbhb.com/intelligence/snippets/navigating-the-legal-landscape-of-ai-generated-code-ownership-and-liability-challenges/
[20] LeadRPro — "AI-Generated Code: Who Owns the Intellectual Property Rights?" — https://www.leadrpro.com/blog/who-really-owns-code-when-ai-does-the-writing
[21] Augment Code — "AI Coding Tools SOC2 Compliance: Enterprise Security Guide" — https://www.augmentcode.com/tools/ai-coding-tools-soc2-compliance-enterprise-security-guide
[22] MintMCP — "GitHub copilot security risks: what enterprises need to know" — https://www.mintmcp.com/blog/github-copilot-security-risks
[23] Black Duck — "AI Coding Assistant Risks and Benefits: 2025 DevSecOps Security Guide" — https://www.blackduck.com/blog/ai-coding-assistant-security-risks-benefits-devsecops-2025.html