Patchmageddon hesabatı: Süni intellekt korporativ yamanlamadan öndədir

Michael Cembalest tərəfindən hazırlanmış iyul 2026 Patchmageddon hesabatı bildirir ki, süni intellekt modelləri zəiflikləri bir çox təşkilatın yamaq vura biləcəyindən daha sürətli tapır və ilk təzyiqi açıq mənbə çəkir. Broadcom sponsorluğundakı yazıda istinad edilən hesabat J.P. Morgan Asset Management kiber təhlükəsizlik rəhbərliyinin rəylərini də əhatə edir.

Bir günlük istismar vaxtı

Hesabat bildirir ki, Anthropic-in Mythos və OpenAI-nin GPT-5.5 kimi modelləri indi əvvəllər naməlum olan zəiflikləri heç bir insan tədqiqat komandasının çata bilmədiyi miqyasda tapır. Anthropic və onun Project Glasswing partnyorları təkcə ilk ayda 10 000-dən çox yeni yüksək və kritik səviyyəli sıfır gün zəifliyi tapıblar. Açıqlanmadan ilk istismara qədər median vaxt 2021-ci ildə təxminən bir il idi, 2026-cı ildə bir günə düşüb və 2027-ci ildə bir dəqiqəyə enəcəyi proqnozlaşdırılır. İstismarların təxminən 80%-i indi ictimai açıqlanma günü və ya ondan əvvəl baş verir.

Açıq mənbə ilk zərbəni alır

Təzyiq əvvəlcə açıq mənbəyə düşür, çünki müasir proqram təminatı açıq mənbədən ibarətdir və onun kodu hamı üçün açıqdır. 2026-cı ilin mayına qədər Anthropic-in açıq mənbə saxlayıcılarına bildirdiyi 530 yüksək və kritik səviyyəli tapıntıdan yalnız 75-i yamaqlanmışdı. Hesabat qeyd edir ki, saxlayıcılar baq-bauti proqramlarını bağlayıb və stressi azaltmaq üçün «balıq tutmağa getdik» işarəsi asıblar. O, saxlayıcıların konsentrasiyasını vurğulayır: Linux Foundation və Harvard-ın ilk 50 açıq mənbə layihəsi üzrə tədqiqatında 23%-də əlavə edilən sətirlərin 80%-dən çoxuna tək bir tərtibatçı məsul idi, 94%-də isə kodun 90%-dən çoxunu ondan az tərtibatçı yazırdı. Anchore tək bir saxlayıcı göstərən 18 milyondan çox npm paketi sayıb.

Daha sürətli yamaqlama planı

Hesabat bildirir ki, təşkilatlar özlərini yalnız dəqiqliyə görə deyil, yamaqlama sürətinə görə də qiymətləndirməli olacaqlar və 90 günlük açıqlanma pəncərələri indi saatla ölçülür. O, təhlükəsizlik mütəxəssislərinin 80%-dən çoxunun biznesi pozmamaq üçün yamağı keçdiyini göstərən tədqiqata istinad edir və yamaqlanmamış sistemin indi daha böyük təhdid olduğunu iddia edir. J.P. Morgan-ın texnologiya rəhbərliyi aydın deyir: cari versiyaları işlədin və saxlayıcısını müəyyən edə bilmədiyiniz, saxlayıcısı tək adamlıq biznes kimi görünən və ya paketi tərk edilmiş görünən asılılıqlardan uzaqlaşın. Peşəkar açıq mənbə riskdə payı olan satıcı və ya güclü təhlükəsizlik komandası olan fond tərəfindən dəstəklənir. Bir paketi kimin saxladığını adla deyə bilmirsinizsə, onu kiminsə düzəldəcəyinə arxalana bilməzsiniz.

Tərtibatçı vərdişlərini deyil, proksi mənbəyini dəyişin

Yazı bildirir ki, əksər böyük şirkətlər hər asılılıq yükləməsini artıq JFrog Artifactory və ya Sonatype Nexus kimi daxili artefakt proksisi vasitəsilə keçirir. Təşkilatlar build fayllarını, URL-ləri və ya CI/CD axınlarını dəyişmədən proksini TrueSource kimi mənbəyə yönəldə bilər. Proksi məlum zəif versiyaları bloklayıb yerinə ən yaxın yamaqlanmış versiyanı verə bilər və beləliklə yamaqlanmış paket standart seçim olur. Yazı həmçinin ilk 50 asılılıq üzrə düzəlişlərin istehsala çatma sürətini ölçməyi, kritik asılılıqların saxlayıcılarını bilməyi və düzəlişləri təklif etmək üçün süni intellektdən istifadə etməyi, qərarı isə insanlarda saxlamayı tövsiyə edir.

Mənbələr: The New Stack