Patchmageddon զեկույցը զգուշացնում է, որ AI-ը առաջ է անցնում ձեռնարկությունների թարմացումներից

2026 թվականի հուլիսի Patchmageddon զեկույցը, որը պատրաստել է Michael Cembalest-ը, ասում է, որ AI մոդելները խոցելիությունները գտնում են ավելի արագ, քան շատ կազմակերպություններ կարող են դրանք ուղղել, և որ առաջին հարվածը ստանում է բաց կոդը։ Broadcom-ի հովանավորած գրառմանը հղված զեկույցը ներառում է J.P. Morgan Asset Management-ի կիբերանվտանգության ղեկավարության ներդրումը։

Մեկ օրվա շահագործման ժամացույցը

Զեկույցի համաձայն՝ Anthropic-ի Mythos-ի և OpenAI-ի GPT-5.5-ի նման մոդելները նախկինում անհայտ խոցելիություններ են գտնում այնպիսի մասշտաբով, որին ոչ մի մարդկային հետազոտական թիմ չի կարող հասնել։ Anthropic-ը և նրա Project Glasswing գործընկերները միայն առաջին ամսում գտել են ավելի քան 10 000 նոր բարձր և կրիտիկական լրջության խոցելիություն։ Բացահայտումից մինչև առաջին շահագործում միջին ժամանակը 2021-ին մոտ մեկ տարի էր, 2026-ին՝ մեկ օր, 2027-ին կանխատեսվում է մեկ րոպե։ Շահագործումների գրեթե 80%-ն այժմ տեղի է ունենում հրապարակային բացահայտման օրը կամ դրանից առաջ։

Բաց կոդը առաջինն է ստանում հարվածը

Ճնշումն առաջինը ընկնում է բաց կոդի վրա, որովհետև ժամանակակից ծրագրային ապահովումը կազմված է բաց կոդից, և դրա կոդը բաց է բոլորի համար։ 2026 թվականի մայիսի դրությամբ Anthropic-ը բաց կոդի պահպանողներին հայտնել էր 530 բարձր և կրիտիկական լրջության խնդիր, որոնցից միայն 75-ն էր ուղղվել։ Զեկույցը նաև նշում է, որ պահպանողները փակել են սխալների համար պարգևատրման ծրագրերը և սթրեսը թոթափելու համար կախել են «ձուկ եմ բռնում» ցուցանակը։ Այն ընդգծում է պահպանողների կենտրոնացվածությունը. Linux Foundation-ի և Harvard-ի 50 նախագծերի ուսումնասիրության մեջ 23%-ում ավելացված տողերի 80%-ից ավելիի համար պատասխանատու էր մեկ մշակող, իսկ 94%-ում կոդի 90%-ից ավելին գրում էր տասից պակաս մշակող։ Anchore-ը հաշվել է ավելի քան 18 միլիոն npm փաթեթ, որոնք նշում են մեկ պահպանող։

Ավելի արագ ուղղումների պլան

Զեկույցը ասում է, որ կազմակերպությունները պետք է իրենց գնահատեն ուղղումների արագությամբ, ոչ միայն ճշգրտությամբ, և որ 90-օրյա պատուհաններն այժմ չափվում են ժամերով աշխատող ժամացույցով։ Ըստ նրա՝ անվտանգության մասնագետների 80%-ից ավելին բաց է թողել ուղղումը՝ բիզնեսին չխանգարելու համար, և չուղղված համակարգն այժմ ավելի մեծ սպառնալիք է։ J.P. Morgan-ի տեխնոլոգիական ղեկավարությունը բացահայտ ասում է. օգտագործեք ընթացիկ տարբերակները և հեռացեք կախվածություններից, որոնց պահպանողին չեք կարող նշել, որոնք մեկ մարդու ձեռնարկություն են հիշեցնում կամ լքված են թվում։ Զեկույցի համաձայն՝ պրոֆեսիոնալ բաց կոդը ապահովում է ռիսկի մեջ շահագրգիռ մատակարարը կամ անվտանգության թիմ ունեցող հիմնադրամը։ Եթե չեք կարող անվանել, թե ով է պահպանում փաթեթը, չեք կարող հույս դնել, որ ինչ-որ մեկը կուղղի այն։

Փոխեք պրոքսիի աղբյուրը, ոչ թե մշակողների սովորությունները

Գրառման համաձայն՝ խոշոր ընկերությունների մեծ մասն արդեն կախվածությունների ներբեռնումներն ուղարկում է ներքին արտեֆակտ պրոքսիով, օրինակ՝ JFrog Artifactory կամ Sonatype Nexus։ Այն պնդում է, որ կազմակերպությունները կարող են պրոքսին ուղղել աջակցվող աղբյուրի, օրինակ՝ TrueSource-ի, առանց փոխելու կառուցման ֆայլերը, URL-ները կամ խողովակաշարերը։ Պրոքսին կարող է արգելափակել հայտնի խոցելի տարբերակները և փոխարենը մատուցել ամենամոտ ուղղվածը՝ դարձնելով ուղղված փաթեթը լռելյայն։ Գրառումը նաև խորհուրդ է տալիս չափել ուղղումների հասնելը արտադրություն լավագույն 50 կախվածությունների համար, իմանալ դրանց պահպանողներին և AI-ով առաջարկել ուղղումներ՝ միավորումը թողնելով մարդկանց։

Աղբյուրներ՝ The New Stack