Z badań nad jakością kodu prowadzonych na uniwersytecie Carnegie Mellon w Pittsburghu wynika, że na każde 1000 linii kodu przypada od 15 do 30 błędów. Licząc średnio 20 błędów, oznacza to odsetek równy 2%. Z podobnych badań wynika, że na każde 100 błędów programistycznych, od 3 do 6 to są błędy skutkujące naruszeniem bezpieczeństwa. Zatem średni odsetek błędów bezpieczeństwa wśród wszystkich błędów programistycznych wynosi około 5%. Należy pamiętać, że nie każdy błąd, który potencjalnie powoduje naruszenie bezpieczeństwa, nadaje się do wykorzystania. Oprócz samej istoty błędu, ważna jest jego kategoria i waga problemu, który wywołuje. Najważniejsze z błędów to takie, które umożliwiają przejęcie kontroli nad systemem. Spośród wszystkich błędów bezpieczeństwa, odsetek takich poważnych luk wynosi od 0,5 do 3%, zależnie od rozległości projektu, jego skomplikowania, narzędzi ułatwiających kontrolę kodu oraz zależności między modułami napisanymi przez różne grupy i projekty. Odsetek błędów wysoce krytycznych można przyjąć na poziomie 2% ogółu błędów, które mogą powodować naruszenie bezpieczeństwa. Z prostego przemnożenia powyższych liczb wynika, że w projekcie, który zawiera 10 mln linii kodu, ilość wysoce krytycznych błędów, które dają szansę przejęcia kontroli nad aplikacją, może być rzędu 200 (10 000 000 x 0,02 x 0,05 x 0,02 = 200 błędów). Oszacowanie to jest dość zgrubne i nie zawsze się sprawdza, ale umożliwia uzmysłowienie rozmiaru problemu. Atakującemu wystarczy wykrycie jednego takiego błędu, by skompromitować aplikację lub nawet cały system. Z powyższych zależności wynika, że napisanie bezbłędnej aplikacji jest trudne.