Patchmageddon-ის ანგარიში აფრთხილებს: AI საწარმოების პაჩირებას უსწრებს

2026 წლის ივლისის Patchmageddon-ის ანგარიშში Michael Cembalest ამბობს, რომ AI მოდელები დაუცველობებს უფრო სწრაფად პოულობენ, ვიდრე ორგანიზაციები ასწრებენ პაჩირებას; ყველაზე ადრე ზეწოლას ღია კოდი განიცდის. Broadcom-ის სპონსორობით გამოქვეყნებულ პოსტში ციტირებული ანგარიში მოიცავს J.P. Morgan Asset Management-ის კიბერუსაფრთხოების ხელმძღვანელობის მოსაზრებებს.

ექსპლუატაციამდე ერთი დღე

ანგარიშის თანახმად, Anthropic-ის Mythos და OpenAI-ს GPT-5.5 პოულობენ აქამდე უცნობ დაუცველობებს იმ მასშტაბით, რომ ადამიანური კვლევითი გუნდი ვერ შეედრება. Anthropic-მა და Project Glasswing-ის პარტნიორებმა პირველ თვეში 10 000-ზე მეტი ახალი მაღალი და კრიტიკული სიმძიმის zero-day იპოვეს. გამჟღავნებიდან პირველ ექსპლუატაციამდე მედიანური დრო 2021 წელს დაახლოებით ერთი წელი იყო, 2026 წელს ერთი დღეა, 2027 წლისთვის კი ერთი წუთი პროგნოზირდება. ექსპლუატაციების თითქმის 80% ახლა საჯარო გამჟღავნების დღეს ან მანამდე ხდება.

პირველი დარტყმა ღია კოდზე მოდის

ზეწოლა ღია კოდზე მოდის: თანამედროვე პროგრამული უზრუნველყოფა ღია კოდისგან შედგება და მისი წყარო ყველასთვის ხილულია. 2026 წლის მაისისთვის Anthropic-მა ღია კოდის მომვლელებს 530 მაღალი და კრიტიკული სიმძიმის აღმოჩენა შეატყობინა, მაგრამ მხოლოდ 75 დაპატჩდა. მომვლელებმა bug bounty პროგრამები დახურეს და „gone fishing“ აბრა გამოფინეს სტრესის მოსახსნელად. ანგარიში ხაზს უსვამს მომვლელთა კონცენტრაციას: Linux Foundation-ისა და Harvard-ის კვლევაში ტოპ 50 ღია კოდის პროექტის შესახებ 23%-ს დამატებული ხაზების 80%-ზე მეტზე ერთი დეველოპერი ეკისრებოდა, ხოლო 94%-ში ათზე ნაკლები დეველოპერი წერდა კოდის 90%-ზე მეტს. Anchore-მა დაითვალა 18 მილიონზე მეტი npm პაკეტი ერთი მომვლელით.

გეგმა უფრო სწრაფი პაჩირებისთვის

ანგარიშში ნათქვამია, რომ ორგანიზაციებმა თავი უნდა შეაფასონ პაჩირების სისწრაფით, არა მხოლოდ სიზუსტით; 90-დღიანი გამჟღავნების ვადები ახლა საათებით იზომება. კვლევით, უსაფრთხოების პროფესიონალთა 80%-ზე მეტმა გამოტოვა პაჩი ბიზნესის შეფერხების თავიდან ასაცილებლად; ანგარიში ამტკიცებს, რომ დაუპატჩავი სისტემა ახლა უფრო დიდი საფრთხეა. J.P. Morgan-ის ტექნოლოგიური ხელმძღვანელობა ამბობს: გაუშვით მიმდინარე ვერსიები და მოერიდეთ დამოკიდებულებებს, სადაც ვერ ადგენთ მომვლელს, ის ერთკაციან ბიზნესს ჰგავს ან პაკეტი მიტოვებულია. პროფესიონალური ღია კოდის უკან დგას ვენდორი რეალური ინტერესითა და რისკით, ან ფონდი უსაფრთხოების რეაგირების გუნდით, დაფინანსებული მომვლელებითა და გამოშვების პროცესით, რომელიც გადაწვას უძლებს. თუ ვერ ასახელებთ პაკეტის მომვლელს, ვერ დაეყრდნობით, რომ ვინმე გამოასწორებს.

შეცვალეთ პროქსის წყარო და არა დეველოპერების ჩვევები

პოსტის თანახმად, დიდი კომპანიების უმეტესობა დამოკიდებულების ყოველ ჩამოტვირთვას შიდა არტეფაქტ პროქსიზე გზავნის, როგორიცაა JFrog Artifactory ან Sonatype Nexus. ავტორის თქმით, პროქსი შეიძლება მიმართონ მხარდაჭერილ წყაროზე, როგორიცაა TrueSource, build ფაილების, URL-ების ან პაიპლაინების შეცვლის გარეშე. პროქსის შეუძლია დაბლოკოს ცნობილი დაუცველი ვერსიები და ნაცვლად უახლოესი დაპატჩილი ვერსია მიაწოდოს, რითაც დაპატჩილი პაკეტი ნაგულისხმევი გახდება. პოსტი გვირჩევს გავზომოთ გამოსწორებების წარმოებამდე მისვლის სისწრაფე ტოპ 50 დამოკიდებულებისთვის, ვიცოდეთ კრიტიკული დამოკიდებულებების მომვლელები და AI გამოვიყენოთ გამოსწორებების მოსაძებნად და შესათავაზებლად, ხოლო ცვლილებების გაერთიანება ადამიანებს დავუტოვოთ, იდეალურად თავად კოდის მომვლელებს.

წყაროები: The New Stack