AnswersPublished15 sources
AI szybciej znajduje luki, niż zespoły są w stanie je naprawiać
Palo Alto Networks poinformowało o ponad 14 tys. wcześniej niewykrytych luk w oprogramowaniu open source, znalezionych przy pomocy AI w trzy tygodnie.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Palo Alto Networks poinformowało o ponad 14 tys. wcześniej niewykrytych luk w oprogramowaniu open source, znalezionych przy pomocy AI w trzy tygodnie.
- Anthropic podało, że jego modele wskazały ponad 29 tys. potencjalnych luk w ciągu sześciu miesięcy, ale ludzie sprawdzili i ocenili około 6 tys.
- Eksperyment Epoch AI pokazał, że model GLM 5.3 potrafił wykorzystać publiczne informacje o poprawkach, które nie dotarły jeszcze do użytkowników Firefoksa.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
AI przyspiesza wykrywanie luk w oprogramowaniu, ale nie usuwa pracy, która następuje później. Zgłoszenia trzeba zweryfikować, ustalić ich znaczenie, przygotować poprawki i dopilnować, by aktualizacje dotarły do użytkowników. Jednocześnie informacje o nieudostępnionych jeszcze poprawkach mogą pomóc atakującym w budowie exploitów.3
Więcej zgłoszeń, niekoniecznie więcej napraw
Palo Alto Networks przekazało dziennikowi The Economic Times, że przy użyciu AI wykryło ponad 14 tys. wcześniej nieznanych luk w projektach open source, a analiza trwająca trzy tygodnie dorównała rokowi ręcznych testów penetracyjnych.19 To wynik podany przez firmę; dostępne materiały nie potwierdzają go jako niezależnego benchmarku.
Liczby przedstawione przez Anthropic pokazują, dlaczego szybkości wykrywania nie należy utożsamiać z tempem napraw. Firma poinformowała, że w ciągu sześciu miesięcy jej modele wskazały ponad 29 tys. potencjalnych luk, z których ludzie ręcznie sprawdzili i poddali wstępnej ocenie około 6 tys. „Potencjalna luka” nie musi być potwierdzonym problemem, a potwierdzenie nie oznacza jeszcze, że autorzy projektu opublikowali poprawkę.
Uruchomiony przez Anthropic OSS Scanner to bezpłatna usługa dla kwalifikujących się projektów open source, które zdecydują się z niej korzystać. Oferuje cykliczne skanowanie kodu modelami firmy, w tym Claude Mythos. Zgłoszenia mogą trafiać do opiekunów projektów bez wcześniejszej weryfikacji przez człowieka. Może to przyspieszyć przekazywanie informacji, ale sprawia też, że ważna staje się jakość i liczba raportów. Dostępne dane nie potwierdzają dokładnych zestawień z 2 października ani liczby poprawek wprowadzonych do projektów nadrzędnych.
Wąskim gardłem staje się weryfikacja
Anthropic przyznaje, że ograniczeniem jest liczba osób zdolnych do sprawdzania zgłoszeń. TechTarget opisuje OSS Scanner jako rozwiązanie, które przenosi większą część pracy związanej z obsługą luk na opiekunów projektów. Nawet użyteczne zgłoszenie trzeba odtworzyć, ocenić jego wpływ, naprawić błąd, przetestować zmianę i przygotować wydanie. Więcej raportów nie oznacza automatycznie szybszego wykonania tych zadań.
Dlatego znaczenie mają zgłoszenia, które można odtworzyć i które jasno wskazują, jakiego kodu dotyczą oraz jakie mogą mieć skutki. Organizacje korzystające z oprogramowania open source mogą też wspierać finansowo jego utrzymanie i bezpieczeństwo. Electronic Frontier Foundation (EFF), amerykańska organizacja zajmująca się prawami cyfrowymi, apeluje o większe wsparcie dla takich projektów. Dostępne materiały nie potwierdzają konkretnych doniesień o wypaleniu opiekunów ani zmianach kadrowych w poszczególnych zespołach.
Luka między poprawką a aktualizacją może pomagać atakującym
AI może służyć obrońcom, ale opublikowanie informacji o poprawce bywa dla atakującego wskazówką, gdzie szukać błędu. Epoch AI opisało eksperyment, w którym GLM 5.3 — ogólnodostępny model firmy Z.ai — wykorzystał publiczne informacje o poprawkach do Firefoksa, które nie trafiły jeszcze do użytkowników. W kontrolowanych testach model przygotował działające ataki na sześć wydań przeglądarki; według Epoch AI krańcowy koszt jednego udanego ataku wynosił około 1 tys. dolarów.3
Nie jest to dowód, że ataki przeprowadzono przeciwko użytkownikom Firefoksa. Eksperyment pokazuje jednak ryzyko związane z tak zwaną luką aktualizacji: czasem między ujawnieniem informacji o poprawce a dostarczeniem jej użytkownikom. Według wtórnych relacji Mozilla usunęła powiązany problem w Firefoksie 159.0.2
9
Nie oznacza to, że publikowanie poprawek jest błędem — aktualizacje są potrzebne, by chronić użytkowników. Warto jednak zakładać, że szczegóły techniczne mogą zostać szybko przeanalizowane, dlatego liczy się sprawne udostępnianie i instalowanie aktualizacji.3
Duże zestawienia poprawek wymagają kontekstu
Październikowy Patch Tuesday Microsoftu pokazuje, jak ostrożnie należy czytać same liczby. W dokumentacji firmy wymieniono 1468 CVE, czyli identyfikatorów luk w zabezpieczeniach, których dotyczyły aktualizacje. Veracode podaje natomiast 1413 podatności w tej samej październikowej publikacji. Dostępne źródła nie wyjaśniają różnicy między tymi zestawieniami. Veracode wskazuje również, że aktualizacja obejmowała aktywnie wykorzystywaną lukę w zabezpieczeniach powłoki Windows. Sama liczba poprawek nie mówi, co spowodowało ich dużą skalę ani ile błędów wykryto z pomocą AI.
Przykład z PHP przypomina, ile pracy może wymagać szybka reakcja: według CERT-EU projekt PHP ogłosił 20 października dwie krytyczne luki, a poprawki udostępnił następnego dnia. Reuters przytoczył ostrzeżenia siedmiorga specjalistów ds. cyberbezpieczeństwa, według których luki odkrywane z pomocą AI mogą przyczynić się do kolejnych zakłóceń.17 To prognoza możliwych skutków, a nie dowód, że odkrycie błędu przez AI zawsze prowadzi do incydentu.
Szybsze wykrywanie nie przesądza o bezpieczeństwie
AI może pomóc obrońcom wcześniej znaleźć słabe punkty, ale eksperyment z Firefoksem pokazuje, że równie istotne jest ryzyko przyspieszenia prac nad exploitami.3 Dostępne źródła nie pozwalają rozstrzygnąć, która strona zyska na tych zmianach więcej. Najpilniejsze jest połączenie szybkiego wykrywania z rzetelną oceną i sprawnym wdrażaniem poprawek — tak, by rosnąca liczba zgłoszeń nie zamieniła się w coraz dłuższą kolejkę dla opiekunów projektów i użytkowników.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AI szybciej znajduje luki, niż zespoły są w stanie je naprawiać"?
Palo Alto Networks poinformowało o ponad 14 tys. wcześniej niewykrytych luk w oprogramowaniu open source, znalezionych przy pomocy AI w trzy tygodnie.
What are the key points to validate first?
Palo Alto Networks poinformowało o ponad 14 tys. wcześniej niewykrytych luk w oprogramowaniu open source, znalezionych przy pomocy AI w trzy tygodnie. Anthropic podało, że jego modele wskazały ponad 29 tys. potencjalnych luk w ciągu sześciu miesięcy, ale ludzie sprawdzili i ocenili około 6 tys.
What should I do next in practice?
Eksperyment Epoch AI pokazał, że model GLM 5.3 potrafił wykorzystać publiczne informacje o poprawkach, które nie dotarły jeszcze do użytkowników Firefoksa.