Most nagy a felhajtás az MI és a kiberbiztonság körül. A lényeg ennél jóval egyszerűbb, mégis gyakran elveszik a zajban. A sebezhetőségek felderítése egyre gyorsabb és sokkal nagyobb léptékű, miközben a védelmi oldalon továbbra is azt kell eldönteni, hogy a rengeteg találat közül melyikkel érdemes tényleg foglalkozni.

2026 első felében 35 853 CVE-t tettek közzé, nagyjából 49%-kal többet, mint egy évvel korábban. Ugyanebben az időszakban viszont csak 495-öt soroltak be a vadonban aktívan kihasznált sebezhetőségek közé, és 116-ot már a nyilvánosságra kerülés napján támadtak. Közben az Anthropic saját közzétételi adatai szerint a Mythos-osztályú modellek 26 153 lehetséges sebezhetőséget tártak fel nyílt forráskódú szoftverekben, amelyek közül mindössze 421-hez készült upstream javítócsomag.

Ez a kis, ténylegesen kihasznált részhalmaz nagyon fontos. Arra figyelmezteti a védelmi oldalt, hogy minden High vagy Critical CVSS-besorolású sebezhetőséget vészhelyzetként kezelni nemcsak lehetetlen, hanem rossz megközelítés is. A biztonsági csapatok kulcsfeladata az, hogy eldöntsék: mely kitettségeknél, mely eszközökön kell azonnal lépni – különösen úgy, hogy közben nő a találatok száma, és egyre rövidebb a rés a közzététel és a tényleges kihasználás között.

A CVSS önmagában nem mondja meg, mi számít a saját környezetedben

Ugyanaz a CVE akár több száz eszközt is érinthet, de a hatása ritkán azonos mindegyiken. Vannak példányok, amelyek nem érhetők el kívülről. Mások olyan védelmi rétegek mögött futnak, amelyek megszakítják a kihasználáshoz szükséges technikákat. Megint mások üzletileg kritikus rendszereken jelennek meg, ahol a megelőzés nem működik, és az észlelés sem jelez.

A CVSS közös súlyossági alapot ad. Azt a kontextust viszont nem, amely meghatározza, mekkora kárt okozhat egy sebezhetőség a te szervezetedben.

Ezért van szükség arra, hogy a védelmi oldal saját környezetéből szerezzen bizonyítékot: ténylegesen kihasználható-e az adott kitettség, mely eszközöket érinti, ezek az eszközök elérhetők-e a támadó számára, és mennyire fontosak az üzlet szempontjából. Ahogy nő a sebezhetőségek száma, ez a különbségtétel egyre fontosabbá válik.

Az automatizált pentest önmagában nem tud minden kitettséget validálni

Ha túllépünk a puszta súlyossági pontszámokon, az automatizált pentest az egyik legerősebb bizonyítéktípus, amihez hozzá lehet jutni. Valódi exploitokat futtathat, bizonyíthatja, hogy egy kitettség a te környezetedben ténylegesen kihasználható, összefűzheti a sebezhetőségeket, hitelesítő adatokat és hibás konfigurációkat támadási útvonalakká, és megmutathatja, meddig juthatna el egy támadó a hálózatodon.

A gyakorlatban mégis korlátozott marad a lefedettség. Az Omdia kutatása szerint bár a szervezetek 95%-a kiemelt vagy magas prioritásúnak tartja a pentestet, egy átlagos támadási felületüknek csak 32%-át tesztelik évente. Az agentikus és automatizált megközelítések növelhetik ezt a lefedettséget, de nem szüntetik meg az élő exploitálás minden korlátját.

CVE-alapú exploitálásnál továbbra is szükség van működő exploitra, és a célrendszernek biztonságosan tesztelhetőnek kell lennie. Az újonnan közzétett CVE-khez gyakran még nincs működő exploit, az üzletileg kritikus, korlátozott vagy légmentesen elzárt rendszereken pedig egyszerűen nem lehet élő exploitot futtatni. Ezeknél a kitettségeknél is meg kell mondani, hogy kihasználhatók-e, még akkor is, ha az automatizált pentest nem tud rájuk biztonságosan semmit lefuttatni.

Ezt a rést az automatizált pentest önmagában nem tudja betömni. A validáció kötelező része, de nem tud minden kitettséget validálni.

Egy mindenkiért. Mindenki egy kitettségért.

Itt áll össze a kép.

• Az exploitálhatóság validálása megállapítja, hogy egy kitettség a te környezetedben ténylegesen kihasználható-e – beleértve azokat a CVE-ket is, amelyekhez még nincs működő exploit, és azokat az eszközöket, amelyeket élő exploitálással nem lehet biztonságosan elérni.
• A biztonsági kontrollok validálása azt teszteli, hogy a megelőző és detektáló kontrolljaid valóban blokkolják, észlelik vagy épp elszalasztják a támadást.
• Az agentikus pentest biztonságosan futtat valódi exploitokat, és összefűzi a kitettségeket támadási útvonalakká, hogy megmutassa, egy támadó meddig juthatna el a te konkrét környezetedben.

Ezek a módszerek különböző kérdésekre adnak választ, eltérő kitettségi helyzetekben. A Mythos-készültséghez mindhárom képességre szükség van, egy platformba integrálva, azonos céllal: a kitettségek validálására a saját, egyedi környezetedben. Ez nem azt jelenti, hogy minden kitettségre mindig mindhárom módszert alkalmazni kell. A cél az, hogy mindenhol azt a megközelítést használd, amelyik a legjobban illik az adott helyzethez, és a bizonyítékok ugyanabba a döntési folyamatba kerüljenek be.

A három kulcselem akkor válik igazán erőssé, ha egyetlen programként működik. Egy találat elindíthatja azt a validációs lépést, amelyre valójában szükség van; az új bizonyítékok módosíthatják a javítási prioritást; a javításokat pedig újra lehet validálni, ahelyett hogy egy lezárt ticketben tűnnének el. Így az exploitálhatóság, a kontrollok hatékonysága és a támadási útvonalakra vonatkozó bizonyítékok összekapcsolva maradnak, nem pedig különálló munkafolyamatokban kallódnak.

Erre a pontra mutat a Gartner® májusi kutatási jegyzete is: validált támadási útvonalakra, döntésvezérelt reagálásra és a kitettségek csökkentésére, mindezt az operatív munkafolyamatokba integrálva.

Ugyanez a működési modell áll a Validation Summit ’26 rendezvényünk mögött is.

Mit látnak a biztonsági szakértők, és hogyan ültetik át a validációt a gyakorlatba a vezető nagyvállalatok

Október 14-én és 15-én a Picus Security megrendezi a The Validation Summit ’26 konferenciát. A cél, hogy független nézőpontból mutassuk be, mi változott, hogyan közelítjük meg a validációt, és milyen tanulságokat vontak le azok a biztonsági vezetők, akik már bevezették a gyakorlatban.

Mikko Hyppönen előadásával kezdünk, aki elmagyarázza, miben más ez az átalakulás a korábbiaknál. Utána a Picus CTO-ja, Volkan Ertürk vázolja fel, hogyan kell kinéznie a biztonsági validációnak abban a világban, ahol a támadók MI-vel erősítik meg a támadásaikat, és miért működik jobban együtt az exploitálhatóság validációja, a biztonsági kontrollok validációja és az agentic pentesting, mint külön-külön. A Picus csapat ezután egy frissen nyilvánosságra hozott sebezhetőségen keresztül, élőben mutatja be a validációs munkafolyamatot. A folyamat úgy indul, hogy még nincs javítócsomag és működő exploit, majd PoC előtt történik a validáció, utána az exploitot éles kontrollok ellen teszteljük, végül a javítás után újra validáljuk az eredményt.

Ezt követően a Chanel, az Atlassian és az NFL biztonsági vezetői beszélnek arról, hogyan néz ki mindez valódi nagyvállalati környezetben: hogyan alakítják át az érett biztonsági csapatok a validációs programjaikat, min változtattak, és milyen sikereket, illetve kudarcokat éltek át közben. Két óra. Egy validációs terv. Csatlakozz a Picus Validation Summit ’26 rendezvényhez.