ШІ пришвидшує пошук вразливостей, але не кожну з них зловмисники використовують

Google Threat Intelligence Group (GTIG) зафіксувала, що з січня до серпня 2026 року кількість оприлюднених вразливостей програмного забезпечення більш ніж подвоїлася, тоді як середня кількість вразливостей, помічених у використанні зловмисниками, зросла не так різко. Застосування ШІ для пошуку вразливостей пов’язане і зі зміною їхнього профілю: серед таких знахідок частіше траплялися ті, що дають змогу віддалено виконувати код. Водночас ці дані не показують, яку частину загального зростання спричинив саме ШІ. 317

Оприлюднених вразливостей побільшало швидше, ніж тих, що експлуатували

Кількість оприлюднених вразливостей за місяць зросла з 5 045 у січні 2026 року до 10 740 у серпні. За перші вісім місяців року GTIG нарахувала 141 окрему вразливість, яку спостерігали в експлуатації, — порівняно зі 127 за весь 2025 рік. Середній місячний показник зріс із 10,5 у 2025 році до 18 у період із січня до серпня 2026-го. 3

Це різні показники. Кількість оприлюднень рахує вразливості, про які повідомили публічно, а показник експлуатації — окремі вразливості, які зловмисники, за спостереженнями дослідників, використовували. Це не кількість кібератак і не кількість постраждалих. Тому зростання оприлюднень не означає, що зловмисники атакують таку саму частку нових вразливостей. 3

Дані свідчать, що зросли і темпи виявлення, і кількість вразливостей, помічених в експлуатації. Але вони не відокремлюють вплив ШІ й не доводять, що саме він спричинив ці тенденції. Висновки GTIG стосуються дедалі помітнішої ролі ШІ в пошуку вразливостей і потенційної небезпеки частини таких знахідок, а не точного внеску ШІ в загальні показники. 329

Знахідки, пов’язані з ШІ, мали інший профіль ризику

Приблизно половина вразливостей, які GTIG класифікувала як імовірно знайдені за допомогою ШІ, давала змогу віддалено виконувати код (RCE). Серед інших вразливостей таких було близько 26%. RCE може дати зловмиснику змогу запускати код на вразливій системі, тож така відмінність вказує на потенційно серйозні наслідки. Однак позначка «ймовірно знайдена за допомогою ШІ» — це атрибуція, а не доказ того, що ШІ самостійно виявив кожну вразливість у цій групі. 1723

Оцінки серйозності потребують ще одного уточнення. За даними про аналіз GTIG, 58% імовірно виявлених за допомогою ШІ вразливостей отримали середній рівень ризику — порівняно з 28% інших оприлюднених вразливостей. Частка вразливостей із високим ризиком становила лише близько 4% і була подібною в обох групах. Окремо GTIG повідомила, що кількість оприлюднених вразливостей, які за її власною шкалою належать до високого ризику, зросла зі 131 у січні до 350 у серпні. Цей показник стосується всіх оприлюднень, а не лише тих, що пов’язують із ШІ. 232829

Нульового дня — не єдиний момент, коли вразливість становить загрозу

Вразливість нульового дня (zero-day) експлуатують до того, як для неї стає доступним виправлення. Вразливість n-day уже відома публічно — і часто для неї є оновлення, — але зловмисники можуть і далі використовувати її на системах, які не встигли оновити.

За даними GTIG, середня кількість випадків експлуатації вразливостей нульового дня зросла приблизно з восьми на місяць у 2025 році до приблизно 11 на місяць у період із січня до серпня 2026-го. Це помірніше зростання, ніж загального показника експлуатації. Воно нагадує, що небезпеку становлять не лише нові вразливості, які атакують до появи виправлення: зловмисники також можуть націлюватися на вже відомі вразливості після їх оприлюднення. Ці цифри не визначають, яку частку експлуатації n-day-вразливостей полегшив ШІ. 329

GTIG також повідомила про злочинця, який мав експлойт для вразливості нульового дня, і припустила, що його розробили за допомогою ШІ. Зловмисник планував масштабну кампанію, однак, за словами GTIG, завчасне виявлення могло завадити її проведенню. Це свідчення конкретного випадку, пов’язаного з ШІ, а не доказ того, що ШІ спричинив загальне зростання експлуатації. 7

ШІ-сервіси теж можуть стати ціллю

За спостереженнями GTIG, зловмисники атакують і програмну інфраструктуру, яку використовують для розробки та впровадження великих мовних моделей. Організаціям варто вважати компоненти й сервіси ШІ частиною свого виробничого середовища, що потребує захисту, та оцінювати кожну вразливість з огляду на доступність уразливої системи й наявні свідчення експлуатації. 1

Що робити командам безпеки та розробникам

Командам безпеки: визначайте пріоритетність вразливостей за тим, чи доступні вразливі системи ззовні, якими можуть бути наслідки та чи є свідчення експлуатації, — а не лише за кількістю нових оприлюднень. Ведіть облік систем, доступних через інтернет, і використовуваного програмного забезпечення на базі ШІ; своєчасно встановлюйте доступні оновлення. Для вразливостей, які експлуатують до появи виправлення, завчасно готуйте моніторинг і заходи зниження ризику. Для вже відомих вразливостей скорочуйте проміжок між оприлюдненням і усуненням. 389

Розробникам програмного забезпечення: застосовуйте інструменти ШІ для тестування разом із перевіркою фахівцями, щоб виявляти й підтверджувати вразливості до випуску продукту. Захищайте компоненти ШІ так само, як інше програмне забезпечення виробничого середовища, і оперативно надавайте клієнтам виправлення та практичні рекомендації. За даними GTIG, важливо стежити не лише за кількістю знахідок, а й за потенційними наслідками вразливостей. 48