Звіт Patchmageddon попереджає, що ШІ випереджає виправлення в підприємствах

Звіт Patchmageddon за липень 2026 року від Michael Cembalest каже, що моделі ШІ знаходять уразливості швидше, ніж багато організацій можуть їх виправляти, і першим це відчуває відкрите програмне забезпечення. Пост, спонсорований Broadcom, посилається на звіт із внеском керівництва з кібербезпеки J.P. Morgan Asset Management.

Одноденний відлік до експлуатації

За словами звіту, моделі на кшталт Mythos від Anthropic і GPT-5.5 від OpenAI тепер знаходять раніше невідомі уразливості в масштабі, з яким не зрівняється жодна людська дослідницька команда. Anthropic та її партнери з Project Glasswing знайшли понад 10 000 нових уразливостей нульового дня високої та критичної серйозності лише за перший місяць. Медіанний час від розкриття до першої експлуатації був приблизно рік у 2021-му, один день у 2026-му, а у 2027-му прогнозують одну хвилину. Майже 80% випадків експлуатації тепер припадають на день публічного розкриття або раніше.

Відкритий код першим потрапляє під удар

Тиск спочатку припадає на відкритий код, бо сучасне програмне забезпечення з нього складається, а його код відкритий для всіх. Зі 530 знахідок високої та критичної серйозності, про які Anthropic повідомила підтримувачів відкритого коду до травня 2026 року, лише 75 було виправлено. Звіт також зазначає, що підтримувачі закрили програми винагород і вивісили табличку «закрито на риболовлю», щоб зняти стрес. Він підкреслює концентрацію підтримувачів: у дослідженні Linux Foundation і Harvard щодо 50 найпопулярніших проєктів відкритого коду 23% мали одного розробника, відповідального за понад 80% доданих рядків, а 94% мали менше ніж десять розробників, які писали понад 90% коду. Anchore нарахувала понад 18 мільйонів пакетів npm із одним підтримувачем.

План швидшого виправлення

Звіт каже, що організаціям доведеться оцінювати себе за швидкістю виправлення, а не лише за точністю, і що 90-денні вікна розкриття тепер вимірюються годинами. Він посилається на дослідження, за яким понад 80% фахівців із безпеки пропускали виправлення, щоб не порушити роботу бізнесу, і каже, що невиправлена система тепер більша загроза. Технологічне керівництво J.P. Morgan прямо каже: використовуйте поточні версії та відмовляйтеся від залежностей, де ви не можете визначити, хто їх підтримує, де підтримувач схожий на одноосібного розробника або де пакет виглядає покинутим. Професійний відкритий код підтримує постачальник із реальною зацікавленістю або фонд зі своєю службою безпеки і процесом випуску. Якщо ви не можете назвати, хто підтримує пакет, ви не можете розраховувати, що хтось його виправить.

Змініть джерело проксі, а не звички розробників

Пост каже, що більшість великих компаній уже спрямовують кожне завантаження залежності через внутрішній артефактний проксі, наприклад JFrog Artifactory або Sonatype Nexus. Він стверджує, що організації можуть спрямувати проксі на підтримуване джерело, як TrueSource, не змінюючи файли збірки, URL-адреси чи конвеєри. Проксі може блокувати відомі уразливі версії та надавати натомість найближчу виправлену, роблячи виправлений пакет типовим. Пост також радить міряти, як швидко виправлення доходять до продакшену для 50 ключових залежностей, знати їхніх підтримувачів і застосовувати ШІ для пошуку змін, залишаючи рішення про злиття людям, бажано підтримувачам коду.

Джерела: The New Stack