A mesterséges intelligencia megkönnyíti a szoftverfejlesztést, a sebezhetőségek felderítését és a fárasztó biztonsági feladatok automatizálását. Ugyanezt a technológiát viszont a támadók is kihasználják.

A Contrast Security új kutatása szerint a támadók olyan tempóban találják meg és használják ki a sebezhetőségeket, amellyel a védők egyszerűen nem tudnak lépést tartani. Nem feltétlenül arról van szó, hogy a biztonsági csapatok rosszul dolgoznak. Sokkal inkább az a gond, hogy túl sok a sebezhetőség, túl sok a támadás, és nincs elég idő mindent kijavítani.

A Contrast AppSec Overflow 2026 jelentése szerint az általuk monitorozott átlagos alkalmazást havonta 11 382 támadás éri. Ez nagyjából négypercenként egy támadást jelent. A legtöbb csak próbálkozás vagy gyanús aktivitás, nem pedig sikeres kihasználási kísérlet, de a cég szerint egy átlagos alkalmazás így is havonta 42 „életképes támadással” találkozik.

A Contrast ezt a kifejezést azokra a kihasználási kísérletekre használja, amelyek ténylegesen elérnek és aktiválnak egy futó alkalmazásban lévő sebezhetőséget. Vagyis a 42-es szám nem csak a „kopogtató” botok mennyiségét mutatja. A sebezhetőségek javítása ehhez képest jóval lassabban halad.

A Contrast szerint egy átlagos alkalmazásban 106 sebezhetőségi találat szerepel, ebből 22 minősül magas vagy kritikus kockázatúnak. A fejlesztői és alkalmazásbiztonsági csapatok havonta átlagosan mindössze 3,4 sebezhetőséget javítanak alkalmazásonként. Egy kritikus sebezhetőség kijavítása az egyedi alkalmazáskódban átlagosan 92 napig tart. A támadóknak ennél jóval kevesebb idő is elég lehet.

A jelentés olyan adatokra hivatkozik, amelyek szerint a sebezhetőség nyilvánosságra hozatala és a kihasználása között eltelt idő drámaian lecsökkent. 2018-ban ez még átlagosan éveket jelentett, ma viszont órák alatt is „fegyverré” válhat egy sebezhetőség. A Contrast szerint az AI felgyorsítja ezt a folyamatot, mert kevesebb szaktudásra és időre van szükség a sebezhetőségek felfedezéséhez és működő exploitok kidolgozásához.

Tovább rontja a helyzetet, hogy a régi sebezhetőségek nem tűnnek el. A Contrast szerint az éles rendszerekben megfigyelt CVE példányok 54 százaléka olyan sebezhetőséghez kapcsolódott, amelyet több mint egy évvel korábban hoztak nyilvánosságra. Némelyik ennél is jóval régebbi.

A 2022-ben közzétett Spring4Shell továbbra is az egyik leggyakrabban megfigyelt sebezhetőség a Contrast adatbázisában. A Log4Shell is újra és újra felbukkan, több mint négy évvel a nyilvánosságra hozatala után. A cég szerint az összetett szoftverfüggőségek miatt a sérülékeny komponensek még jóval azután is az alkalmazásokban maradhatnak, hogy a szervezetek azt hiszik, már megoldották az eredeti problémát.

Sokan gondolhatják, hogy az AI-alapú biztonsági eszközök segíthetnek a védőknek behozni a lemaradást. A Contrast tesztjei alapján a helyzet ennél bonyolultabb.

Három AI-alapú biztonsági szkenner ugyanannak a kódbázisnak az elemzésekor az eredményeik mindössze 5 százalékában értett egyet. Még furcsább, hogy amikor ugyanazt a szkennert háromszor egymás után lefuttatták ugyanazon a kódon, a saját találatainak csak 17 százalékát adta vissza következetesen.

A látszólag olcsó AI-feldolgozás mögött komoly emberi költség is rejtőzhet. A Contrast szerint egy 2 millió sornyi kódot tartalmazó alkalmazás átvizsgálása egy teszt során nagyjából 315 dollárnyi tokent emésztett fel. A cég úgy becsülte, hogy az összes eredmény átvizsgálása és priorizálása körülbelül 128 000 dollárba kerülne.

Ez fontos különbség. Attól, hogy több lehetséges sebezhetőséget találunk, a szoftver még nem lesz automatikusan biztonságosabb. Ha utána embereknek kell eldönteniük, melyik találat valós, és melyik számít igazán, az rengeteg időt és pénzt visz el.

A Contrast szerint a hagyományos megközelítés – sebezhetőségek felderítése, rangsorolása, majd valamikor a javítócsomag kiadása – már nem elég. Úgy látják, több biztonsági rétegre van szükség magukban a futó alkalmazásokban, hogy az exploit-kísérleteket akár még azelőtt meg lehessen állítani, hogy a fejlesztőknek lenne idejük kiadni a javítást.

Erre a következtetésre érdemes némi fenntartással tekinteni. A Contrast runtime alkalmazásbiztonsági termékeket árul, és a jelentés nagy része a saját platformjáról gyűjtött telemetriai adatokra épül. Az ajánlásuk így elég kényelmesen egybeesik azzal, amit a cég árul.

Ettől még a számok nem válnak értelmetlenné. A legérdekesebb kérdés inkább az, hogy egyre nagyobb a szakadék a gépek sebessége és az emberek sebessége között.

Az AI éjjel-nappal segítheti a támadókat a gyenge pontok felkutatásában. Segítheti a fejlesztőket abban, hogy még több kódot írjanak. Segítheti a biztonsági eszközöket abban, hogy még több találatot generáljanak. Az eredmények nagy részét viszont továbbra is emberektől várják, hogy kivizsgálják, és végül ők javítsák a szoftvert.

Ha a sebezhetőségekből néhány óra alatt fegyvert lehet csinálni, miközben a kritikus javítások átlagosan 92 nap alatt készülnek el, akkor önmagában az, hogy gyorsabban találunk több sebezhetőséget, nem feltétlenül oldja meg a problémát. Lehet, hogy csak még nagyobbra nő a kupac.