Да, может. Элементы OSSTMM для измерения поверхности атаки полностью применимы к коду. Вы должны проверить проект SCARE, который представляет собой оценку риска анализа исходного кода. Он показывает, как можно измерить поверхность операционной атаки из исходного кода. Это доступно в http://www.isecom.org/scare