AI znajduje błędy bezpieczeństwa szybciej, niż ludzie są w stanie je naprawić

👁 140 przeczytań

Microsoft wydał w lipcu 2026 roku 570 łatek bezpieczeństwa jednocześnie - w tym trzy podatności zero-day - bijąc własny rekord Patch Tuesday. Kilka tygodni wcześniej Apple poinformowało badaczy bezpieczeństwa, że musi ograniczyć liczbę potencjalnie niebezpiecznych błędów, które mogą zgłaszać do wewnętrznego zespołu w danym miesiącu. Jeśli znalazłeś krytyczną podatność, ale wyczerpałeś limit - poczekaj do przyszłego miesiąca. Obydwa te fakty opisują ten sam problem: AI odkrywa luki bezpieczeństwa w tempie, którego ludzie nie są w stanie obsłużyć.

Fala, która przekroczyła możliwości branży

Stary model zarządzania podatnościami działał na prostym założeniu: poważnych błędów jest stosunkowo niewiele, więc można je ręcznie ocenić według wyniku CVE i łatać od najgroźniejszych. Zero-day trafiały się rzadko i były wydarzeniem. Dziś to model z innej epoki.

AI zrujnowała to założenie, bo drastycznie obniżyła koszt znajdowania błędów na dużą skalę. Google w ciągu 60 dni naprawiło za pomocą agentów AI 1072 błędów w Chrome - więcej niż przez dwa poprzednie lata. To imponujące, ale Google to wyjątek: dysponuje zasobami inżynieryjnymi, których żadna przeciętna firma nawet się nie zbliży do posiadania.

Microsoft w oficjalnym komunikacie z maja 2026 roku wprost przyznał, że wyjaśnieniem rekordowej liczby łatek jest właśnie AI:

„AI pomaga obrońcom odkrywać więcej problemów, dlatego klienci będą widzieć większy wolumen aktualizacji bezpieczeństwa w każdym wydaniu.”

Mowa tu o firmie, która ma jeden z największych na świecie zespołów zajmujących się bezpieczeństwem oprogramowania. Mimo to w lipcu 2026 roku pobito rekord. I - jak sam Microsoft zaznacza - ta liczba będzie tylko rosnąć.

Dwa oblicza tego samego problemu

Paradoks polega na tym, że AI jednocześnie pomaga i szkodzi. Z jednej strony narzędzia takie jak te używane przez Google czy Chainguard potrafią przeszukać miliony linii kodu w poszukiwaniu wzorców podatności w czasie, który wcześniej wymagałby miesięcy pracy zespołu audytorów. Z drugiej - kod generowany przez AI sam w sobie jest źródłem nowych dziur. Według danych przytaczanych przez branżowych ekspertów, AI wprowadza 9 razy więcej nowych podatności niż deweloperzy piszący kod ręcznie.

Dan Lorenc, współzałożyciel i CEO firmy Chainguard zajmującej się bezpieczeństwem łańcucha dostaw oprogramowania, ujął to podczas webinaru krótko: AI „odkrywa podatności w oprogramowaniu, które piszą, i w oprogramowaniu, którego używają, w tempie dalece przekraczającym” zdolności ludzkich zespołów do reagowania.

Efekt? Rosnąca góra niezałatanych podatności, w której prawdziwe zagrożenia giną wśród szumu generowanego maszynowo. Inżynierowie bezpieczeństwa, zamiast skupiać się na rzeczywistych zagrożeniach, coraz więcej czasu poświęcają na triażowanie - czyli ręczne odróżnianie błędów groźnych od tych, które AI uznała za warte zgłoszenia, bo spełniały jakiś formalny wzorzec, ale w praktyce są nieeksploatowalne.

Kto ponosi koszty?

Problem nie dotyczy wyłącznie wielkich korporacji technologicznych. Patch Tuesday Microsoftu z 570 łatkami to sygnał dla każdego działu IT, który musi teraz zdecydować, które z nich wdrożyć najpierw, które mogą poczekać i które wymagają natychmiastowego restartu systemów produkcyjnych. W małych i średnich firmach, gdzie jeden administrator obsługuje dziesiątki serwerów i setki stacji roboczych, taka liczba łatek w jednym cyklu to tygodnie pracy.

Właśnie w tym punkcie część firm przenosi zarządzanie aktualizacjami na zewnątrz. Gdy patch management prowadzi zewnętrzny dział IT w ramach stałej umowy, poprawki są wdrażane według wcześniej ustalonych priorytetów i harmonogramu, a nie w tygodniu, w którym jedyny administrator znajdzie na to czas między bieżącymi zgłoszeniami.

Apple - firma słynąca z kontroli nad własnym ekosystemem i relatywnie rzadkich krytycznych podatności - zdecydowała się na krok bezprecedensowy: racjonowanie dostępu do swojego zespołu bezpieczeństwa. Badacze, którzy zawodowo szukają błędów i zgłaszają je w ramach programów bug bounty, usłyszeli, że istnieje miesięczny limit zgłoszeń. To praktycznie odwrócenie dotychczasowej logiki odpowiedzialnego ujawniania podatności, gdzie im więcej badacz znajdzie i zgłosi, tym lepiej dla wszystkich.

W tle jest też wymiar finansowy. Programy bug bounty, na których opiera się znaczna część modelu odpowiedzialnego ujawniania błędów, zakładają, że każde poważne zgłoszenie otrzyma nagrodę. Przy obecnym tempie odkrywania podatności przez AI koszty tych programów mogą rosnąć wykładniczo - co z kolei może skłaniać firmy do ich ograniczania lub zawieszania, paradoksalnie pogarszając stan bezpieczeństwa.

Jak się adaptować?

Branżowi eksperci wskazują na kilka kierunków. Po pierwsze - priorytetyzacja oparta nie tylko na wyniku CVSS, ale na rzeczywistym kontekście: czy dana podatność jest eksploatowalna w konkretnej konfiguracji, czy atakujący mają do niej dostęp, ile systemów jest narażonych. Po drugie - automatyzacja nie tylko znajdowania błędów, ale też ich naprawiania, co Google częściowo wdraża w Chrome. Po trzecie - zmiana filozofii zarządzania łatkami z reaktywnej na ciągłą, gdzie aktualizacje są wdrażane częściej i mniejszymi partiami zamiast w miesięcznych megapakietach.

Żadne z tych rozwiązań nie jest proste ani tanie. I żadne nie rozwiązuje fundamentalnego problemu: tempo, w jakim AI odkrywa błędy, rośnie szybciej niż tempo, w jakim można je naprawić. Można to opisać jako wyścig zbrojeń, ale to nieścisłe - wyścig sugeruje, że obie strony mają porównywalne możliwości. Tu mamy do czynienia z asymetrią: znalezienie błędu zajmuje AI sekundy, a jego poprawienie - tygodnie pracy inżyniera.

Rekord 570 łatek Microsoftu z lipca 2026 roku prawdopodobnie nie będzie rekordem do końca roku. Sam Microsoft tak mówi.

// czytaj dalejFord musiał ściągnąć z powrotem starych inżynierów, żeby naprawić błędy swojej automatyzacjiNewsyPIDS-Bench: jak naprawdę słabe są detektory prompt injectionNewsyWyszukiwarka twarzy obiecywała prywatność i bezpieczeństwo. Zostawiła 9 milionów zdjęć bez hasłaNewsy