דוח Patchmageddon מזהיר: בינה מלאכותית מקדימה את התיקון בארגונים

דוח Patchmageddon מיולי 2026 של Michael Cembalest קובע שמודלי בינה מלאכותית מוצאים פגיעויות מהר יותר ממה שארגונים רבים מצליחים לתקן, כשקוד פתוח סופג את הלחץ הראשון. הדוח, המצוטט בפוסט בחסות Broadcom, כולל תרומה של הנהלת הסייבר ב-J.P. Morgan Asset Management.

שעון ניצול של יום אחד

הדוח קובע שמודלים כמו Mythos של Anthropic ו-GPT-5.5 של OpenAI מוצאים כעת פגיעויות שלא היו ידועות קודם בהיקף שאף צוות מחקר אנושי אינו יכול להשתוות לו. Anthropic והשותפים שלה ב-Project Glasswing מצאו יותר מ-10,000 פגיעויות יום אפס חדשות בחומרה גבוהה או קריטית בחודש הראשון בלבד. זמן החציון מחשיפה לניצול ראשון עמד על כשנה ב-2021, ירד ליום אחד ב-2026, ולפי התחזית יעמוד על דקה אחת עד 2027. כמעט 80% ממקרי הניצול מתרחשים כעת ביום החשיפה הפומבית או לפניו.

קוד פתוח סופג את המכה הראשונה

הלחץ נופל קודם כול על קוד פתוח, מפני שקוד פתוח הוא מה שממנו בנויה תוכנה מודרנית, ומפני שהקוד שלו גלוי לכולם. מתוך 530 ממצאים בחומרה גבוהה או קריטית ש-Anthropic דיווחה עליהם למתחזקי קוד פתוח עד מאי 2026, רק 75 תוקנו. הדוח מציין גם שהמתחזקים סגרו תוכניות פרסים על באגים ותלו שלט gone fishing כדי להוריד מתח. הוא מדגיש את ריכוזיות המתחזקים: במחקר של Linux Foundation ו-Harvard על 50 פרויקטי קוד פתוח המובילים, ב-23% מהם מפתח יחיד היה אחראי ליותר מ-80% מהשורות שנוספו, וב-94% מהם פחות מעשרה מפתחים כתבו יותר מ-90% מהקוד. Anchore ספרה יותר מ-18 מיליון חבילות npm שמציינות מתחזק יחיד.

תוכנית לתיקון מהיר יותר

הדוח קובע שארגונים יצטרכו לשפוט את עצמם לפי מהירות התיקון, ולא רק לפי הדיוק, ושחלונות חשיפה של 90 יום נמדדים כעת מול שעון שפועל בשעות. הוא מצטט מחקר שמצא שיותר מ-80% מאנשי אבטחת המידע דילגו על תיקון כדי לא לשבש את העסק, וטוען שהמערכת שאינה מתוקנת היא כעת האיום הגדול יותר. הנהלת הטכנולוגיה של J.P. Morgan אומרת זאת במפורש: הריצו גרסאות עדכניות, וצמצמו תלויות שבהן אינכם יכולים לזהות מי מתחזק אותן, שבהן המתחזק נראה כמו עסק של אדם אחד, או שבהן נראה שהחבילה נטושה. לדברי הדוח, קוד פתוח מקצועי מגובה בספק שיש לו מה להפסיד, או בקרן עם מערך תגובה לאבטחה, מתחזקים ממומנים ותהליך שחרור שעומד בשחיקה. אם אינכם יכולים לנקוב בשם מי שמתחזק חבילה, אינכם יכולים לסמוך על כך שמישהו יתקן אותה.

שנו את מקור הפרוקסי, לא את הרגלי המפתחים

הפוסט אומר שרוב החברות הגדולות כבר מעבירות כל הורדה של תלות דרך פרוקסי פנימי לארטיפקטים, כמו JFrog Artifactory או Sonatype Nexus. הוא טוען שארגונים יכולים לכוון את הפרוקסי למקור נתמך כמו TrueSource בלי לשנות קבצי בנייה, כתובות או צינורות אספקה. הפרוקסי יכול לחסום גרסאות פגיעות ידועות ולספק במקומן את הגרסה המתוקנת הקרובה ביותר, וכך החבילה המתוקנת הופכת לברירת המחדל. הפוסט ממליץ גם למדוד כמה מהר תיקונים מגיעים לייצור ב-50 התלויות המובילות, לדעת מי מתחזק את התלויות הקריטיות, ולהשתמש בבינה מלאכותית כדי לאתר ולהציע תיקונים, כשההחלטה על המיזוג נשארת בידי אנשים, רצוי המתחזקים של הקוד.

מקורות: The New Stack