Як забутий вузол може повернути Oracle Java у продакшн

Виробник корпоративної Java компанія Azul у середу представила Azul Intelligence Cloud AI Assistant — інтерфейс запитів природною мовою, який показує, де в живому продакшн-середовищі Java ховаються ризики безпеки та ліцензійні порушення.

За словами Azul, асистент відповідає на основі живих даних середовища виконання, замінюючи статичні звіти, які втрачають точність одразу після створення.

Статичні звіти швидко застарівають

Більшість ІТ- та інженерних команд досі керують ризиками Java за допомогою статичних звітів ITAM/SAM і сканерів коду. Azul називає такі звіти точними в день створення й дедалі хибнішими після нього, адже JVM створюються, патчаться й виводяться з експлуатації вже після того, як звіт складено.

«Роками підприємства будували дашборди й звіти, щоб розуміти, що насправді виконується в їхньому середовищі Java, але поки звіт переглянуть, описаний ризик уже змінився», — каже співзасновник і CEO Azul Скотт Селлерс. «Тепер, коли AI здатен перетворити вразливість на зброю за години, а не тижні, це бізнес-ризик — для безпеки, комплаєнсу й ліцензійних зобов'язань, які виявляються під час аудиту».

Вікно до експлуатації вразливості звужується

Azul посилається на AI-моделі, як-от Mythos від Anthropic і Aardvark від OpenAI, які самостійно виявили реальні вразливості, та на білу книгу Cloud Security Alliance за квітень 2026 року: організації колись витрачали на патчі медіанно 32 дні, а вже у 2025-му медіанний час до експлуатації скоротився до п'яти днів.

Асистент додає розмовний шар на LLM-моделях поверх двох живих реєстрів Azul Intelligence Cloud — JVM Inventory, який відстежує всі екземпляри JVM, і Code Inventory, який фіксує код, що справді виконується в продакшні. Інженери можуть запитати, які JVM не мають останніх оновлень, де зараз працює Oracle Java або який код можна безпечно видалити.

У розділі FAQ Azul зазначає, що після міграцій дрейф JVM — часте явище: відкат, забутий вузол, тіньове розгортання чи застарілий скрипт можуть тихо повернути середовище виконання Oracle Java.

Конкурентний ринок

Azul на цьому ринку не самотня: Contrast Security продає JVM-агенти та інструментування байткоду, Dynatrace пропонує Runtime Vulnerability Analytics, Fortify постачає RASP-агент Application Defender, Imperva під егідою Thales покриває Java і .NET, а Datadog працює через розподілене трасування в своєму APM.

Ендрю Круг, керівник напряму адвокації безпеки в Datadog, сказав The New Stack, що інвентаризаційні скани «не завжди репрезентативні» для середовища виконання. «Контекст середовища виконання абсолютно критичний для розуміння реального ризику в продакшні», — сказав він. За його словами, Datadog фіксує зростання автоматизованих атак на відомі вразливості, особливо в Java, бо LLM здешевлюють перетворення нових вразливостей на зброю.

Azul доводить, що витрати на супровід реальні: невикористаний і мертвий код усе ще тестують і переносять через кожну міграцію, бо ніхто не може оцінити, чи безпечно його видалити. Що більше середовище Java, то більша експозиція.