W połowie lipca 2026 roku amerykańska administracja uruchomiła inicjatywę Gold Eagle – federalne centrum operacyjne wykorzystujące zaawansowane modele sztucznej inteligencji do identyfikacji, priorytetyzacji i koordynacji napraw luk w oprogramowaniu. System ten, wspierany przez technologie klasy Mythos, ma za zadanie zabezpieczać infrastrukturę krytyczną szybciej, niż są w stanie zrobić to cyberprzestępcy. Decyzja o wdrożeniu tak zaawansowanych narzędzi jest przyznaniem, że dotychczasowy model ręcznego wyszukiwania i łatania podatności przestał być skuteczny.
Nowa era zagrożeń: dlaczego stare metody zawodzą
Współczesne modele AI, takie jak Mythos, potrafią wykrywać luki, które przez dekady pozostawały ukryte – od błędów w systemach sprzed 27 lat po złożone łańcuchy podatności w jądrze Linuxa. Problem polega na tym, że te możliwości nie są już zarezerwowane wyłącznie dla obrońców. W czerwcu 2026 roku udostępniono publicznie model Fable, co sprawiło, że technologia odkrywania podatności zaczęła być traktowana raczej jako broń niż standardowe oprogramowanie.
Skala wyzwania jest widoczna w zestawieniu tempa działań obu stron:
- Tempo atakujących: Cyberprzestępcy potrafią stworzyć działający exploit na podstawie opisu podatności w zaledwie 20 godzin. Średni czas do wykorzystania luki (MTTE) wynosi obecnie minus siedem dni, co oznacza, że ataki często wyprzedzają oficjalne publikacje o błędach.
- Opieszałość obrońców: Średni czas naprawy znanej luki wynosi obecnie 43 dni, a zaledwie 26% podatności jest w pełni łatanych.
- Ekstremalna skala: W 2026 roku prognozuje się pojawienie około 59 000 nowych wpisów CVE, co daje średnio ponad 160 dziennie. Liczba luk typu Remote Code Execution (RCE) wzrosła o 130% w porównaniu z rokiem ubiegłym.
Zmiana podejścia: od łatania wszystkiego do zarządzania ryzykiem
Tradycyjny program CVE nie został zaprojektowany do obsługi tak ogromnej ilości danych. W odpowiedzi na to, organizacje oraz instytucje rządowe, takie jak CISA, odchodzą od sztywnych terminów napraw na rzecz modelu opartego na rzeczywistym ryzyku. Nowa dyrektywa operacyjna 26-04 nakazuje ocenę podatności w oparciu o cztery zmienne: status w katalogu KEV, ekspozycję zasobów w sieci, automatyczną podatność na ataki oraz realny wpływ techniczny na system.
Jeśli jutro zostanie opublikowana podatność wraz z gotowym kodem exploita wygenerowanym przez AI, jaki jest twój ustalony czas na jej załatanie i kto ma uprawnienia, by podjąć taką decyzję bez zbędnej eskalacji? – Wendi Whitmore, Chief Security Intelligence Officer w Palo Alto Networks.
Strategie obronne w świecie AI
Aby przetrwać w nowej rzeczywistości, organizacje muszą zrewidować swoje podejście do bezpieczeństwa:
- Ograniczanie ekspozycji: Nie można bronić tego, czego się nie widzi. Kluczowe jest mapowanie powierzchni ataku oraz ścisłe ograniczanie uprawnień dla tożsamości niebędących ludźmi, takich jak agenci AI czy klucze API. Przykład włamania do Hugging Face pokazuje, że autonomiczny agent może wykorzystać luki w uprawnieniach, by przemieszczać się wewnątrz klastrów.
- Weryfikacja podatności: Wskaźnik CVSS 9.8 nie mówi nic o tym, czy dany komponent jest faktycznie dostępny z internetu w konkretnym środowisku. Platformy do zarządzania ekspozycją pozwalają mapować realne ścieżki ataku, zamieniając tysiące teoretycznych zagrożeń w konkretną listę zadań dla zespołu.
- Walidacja zabezpieczeń: Narzędzia do tzw. Adversarial Exposure Validation pozwalają sprawdzić, czy istniejące mechanizmy obronne faktycznie zatrzymają atak, czy też są omijane przez nowoczesne kampanie oparte na kradzieży tożsamości.
- Bezpieczeństwo kodu u źródła: Asystenci kodowania AI znacząco przyspieszyli rozwój oprogramowania, ale jednocześnie przyczynili się do wzrostu liczby błędów. Nowoczesne platformy bezpieczeństwa aplikacji integrują się z potokami CI/CD, śledząc źródło każdej luki i zapobiegając jej powielaniu w przyszłym kodzie.
Plan działania dla organizacji
Zamiast próbować wygrać wyścig w szybkości łatania, który jest niemożliwy do wygrania z maszyną piszącą exploity w 20 godzin, należy skupić się na przebudowie programu bezpieczeństwa:
- Audyt realnych czasów naprawy: Zmierz rzeczywisty czas wdrażania poprawek w ciągu ostatnich 90 dni, a nie tylko cele polityczne.
- Wdrożenie modelu triażu: Podziel luki na te wymagające natychmiastowej reakcji (aktywnie wykorzystywane), te wymagające przyspieszonej naprawy oraz te obsługiwane w standardowym cyklu.
- Testy decyzyjności: Przeprowadź ćwiczenia sprawdzające, jak długo trwa uzyskanie zgody na awaryjne łatanie w różnych porach dnia i nocy.
- Weryfikacja skanerów: Przetestuj obecne narzędzia skanujące pod kątem kodu wygenerowanego przez AI. To, czego nie wykryją, stanowi twój obecny dług techniczny.
Organizacje, które odniosą sukces w nadchodzącej dekadzie, to te, które zminimalizują obszar ekspozycji, priorytetyzują realne zagrożenia i zapobiegną wprowadzaniu wadliwego kodu do produkcji, zamiast jedynie optymalizować procesy, które przestały być adekwatne do skali zagrożeń.
