AnswersPublished14 sources
Cybersikkerhet må beskytte systemene mens oppdateringene ennå er på vei
Verizon fant at full utbedring tok 43 dager i median, og at bare 26 prosent av kjente, aktivt utnyttede sårbarheter i datasettet var fullt utbedret. a16z analytikerne Asaf Ezra og Stephenie Zhang mener sikkerhet må beskytte systemer mens permanente feilrettinger utvikles og rulles ut.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- Verizon fant at full utbedring tok 43 dager i median, og at bare 26 prosent av kjente, aktivt utnyttede sårbarheter i datasettet var fullt utbedret.
- a16z analytikerne Asaf Ezra og Stephenie Zhang mener sikkerhet må beskytte systemer mens permanente feilrettinger utvikles og rulles ut.
- PHP eksempelet viser risikoen for eldre systemer: mellom 2,6 og 4,4 millioner installasjoner utenfor en beskyttende tjeneste skal ha stått utsatt.
- Kildene omtaler seks muligheter innen sikkerhetsprodukter, men tilgjengelige utdrag bekrefter ikke alle kategoriene i detalj.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What do a16z investing partner Asaf Ezra and growth partner Stephenie Zhang argue in their November 6, 2026 report “Defense in Depth, Rebuil. Article summary: Ezra and Zhang’s central argument is that cheap AI-generated exploits break the timing assumptions behind human-run patching: defenses must protect systems while permanent fixes are still being prepared, tested and deplo. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
AI kan gjøre det billigere å omsette programvarefeil til fungerende angrep. Men oppdateringer blir ikke utviklet, testet og installert like raskt. I en rapport publisert 6. november 2026 argumenterer a16z-partnerne Asaf Ezra og Stephenie Zhang for at cybersikkerhet derfor må beskytte systemer mens en varig feilretting fortsatt er på vei. 1
2
Et langt vindu mellom sårbarhet og oppdatering
Rapporten viser til Verizon sine funn for 2026: Det tok i median 43 dager å utbedre sårbarheter fullt ut, og bare 26 prosent av kjente sårbarheter som var utnyttet i angrep var fullt utbedret i datasettet. 1
Ezra og Zhang beskriver hvordan arbeidet med å gjøre en programvarefeil om til et fungerende angrep ble billigere i 2025 og 2026, mens arbeidet med å få ut oppdateringer ikke gikk tilsvarende raskere. Ifølge dem kan ikke dette gapet tettes bare ved å bli flinkere til å oppdatere. 2
Det betyr ikke at oppdateringer er unødvendige. Poenget er at virksomheter også trenger tiltak som reduserer risikoen mens en permanent løsning blir utviklet, testet og tatt i bruk.
Beskyttelse mens feilrettingen lar vente på seg
PHP-eksempelet i rapporten illustrerer utfordringen for programvare som ikke kan oppdateres raskt – eller som ikke lenger får feilrettinger. Ifølge Asaf Ezra ble to kritiske PHP-feil kjent før rettelsene var klare. Mellom 2,6 og 4,4 millioner PHP-installasjoner utenfor en beskyttende tjeneste skal ha vært utsatt, og de fleste kjørte versjoner som ikke ville få noen rettelse. 37
I slike tilfeller kan en regel som stopper angrep før de når sårbare systemer, gi et ekstra beskyttelseslag mens oppdateringene rulles ut. Rapporten argumenterer for å bruke maskinens hastighet til å lage og spre slike forsvarsregler – også til systemer som ikke ligger hos de største skyleverandørene. 2
37
En midlertidig beskyttelse kan begrense hvor lenge systemet står åpent for angrep, men den reparerer ikke selve programvaren. Der varige feilrettinger finnes, må de fortsatt installeres. Virksomheter bør også vurdere hva som skjer dersom den midlertidige beskyttelsen svikter eller blir utilgjengelig.
Hvilke sikkerhetsmuligheter peker rapporten på?
Ezra og Zhang beskriver seks muligheter for en ny generasjon sikkerhetsprodukter. 1
2 Utdragene som er tilgjengelige her, gir ikke nok grunnlag til å bekrefte en fullstendig liste over alle seks eller detaljene i hver kategori. En sekundæroppsummering trekker fram bredere temaer som segmentering, deteksjon i maskinhastighet, identitetskontroll ved hver forespørsel, testet sikkerhetskopiering og kontroll av programvareleverandørkjeden.
34
Samlet peker temaene mot en bredere sikkerhetstilnærming:
- Begrens angrep mens feilrettinger utvikles. Segmentering og andre kontrolltiltak kan begrense hvor langt et innbrudd sprer seg, uten å forutsette at alle sårbare systemer kan oppdateres umiddelbart.
34
- Oppdag og håndter trusler raskere. Når angrep kan utvikles raskere, blir det viktigere å oppdage dem og sette inn beskyttelse tidlig. Rapportens hovedargument er at forsvaret må holde tritt med tempoet i angrepsutviklingen.
2
- Kontroller tilganger fortløpende. Identitetskontroll ved hver forespørsel er ett av temaene sekundæroppsummeringen peker på. Det innebærer mer enn å stole på at en bruker først logget inn.
- Sjekk at gjenoppretting faktisk virker. Testede sikkerhetskopier og gjenoppretting er også trukket fram: sikkerhet handler ikke bare om å hindre et innbrudd, men også om å kunne få driften tilbake.
- Undersøk programvare og avhengigheter. Kontroller av leverandørkjeden skal bidra til å håndtere risiko fra programvare og verktøy virksomheten tar i bruk.
Dette er overordnede temaer, ikke en fullstendig og verifisert gjengivelse av alle seks kategoriene eller de konkrete produktkravene. De tilgjengelige utdragene dokumenterer heller ikke flere mer presise påstander, blant annet bestemte mengder sikkerhetsvarsler, intervaller for utløp av tilganger eller nøyaktig tid fra offentliggjort feilretting til et fungerende angrep.
Først begrense risikoen – så rette feilen varig
Hovedpoenget er ikke å velge mellom oppdateringer og andre sikkerhetstiltak. De må virke sammen: Reduser sannsynligheten for angrep og begrens skade nå, og installer og kontroller en varig feilretting når den er klar. 1
2
Dette er særlig relevant for systemer som ikke lar seg oppdatere raskt. Samtidig må midlertidige tiltak ikke forveksles med en fullgod løsning. PHP-eksempelet viser hvorfor risikoen fortsatt er alvorlig når installasjoner ikke omfattes av beskyttelsen eller ikke kan få feilrettinger. 37
Muligheten Ezra og Zhang beskriver, handler derfor om mer enn raskere sårbarhetsskanning: et sikkerhetslag som kan begrense angrep, avdekke risiko, kontrollere tilgang og støtte gjenoppretting – også når oppdateringene ikke kommer raskt nok.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cybersikkerhet må beskytte systemene mens oppdateringene ennå er på vei"?
Verizon fant at full utbedring tok 43 dager i median, og at bare 26 prosent av kjente, aktivt utnyttede sårbarheter i datasettet var fullt utbedret.
What are the key points to validate first?
Verizon fant at full utbedring tok 43 dager i median, og at bare 26 prosent av kjente, aktivt utnyttede sårbarheter i datasettet var fullt utbedret. a16z analytikerne Asaf Ezra og Stephenie Zhang mener sikkerhet må beskytte systemer mens permanente feilrettinger utvikles og rulles ut.
What should I do next in practice?
PHP eksempelet viser risikoen for eldre systemer: mellom 2,6 og 4,4 millioner installasjoner utenfor en beskyttende tjeneste skal ha stått utsatt.