AnswersPublished15 sources
ШІ пришвидшує пошук програмних вразливостей — але не їх виправлення
Palo Alto Networks повідомила, що за три тижні ШІ допоміг виявити понад 14 000 раніше невідомих вразливостей у відкритому програмному забезпеченні. Anthropic заявила про понад 29 000 можливих вразливостей за шість місяців, але фахівці вручну перевірили й відсортували приблизно 6 000.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- Palo Alto Networks повідомила, що за три тижні ШІ допоміг виявити понад 14 000 раніше невідомих вразливостей у відкритому програмному забезпеченні.
- Anthropic заявила про понад 29 000 можливих вразливостей за шість місяців, але фахівці вручну перевірили й відсортували приблизно 6 000.
- У лабораторному експерименті Epoch AI модель GLM 5.3 використала оприлюднені, але ще не доставлені користувачам виправлення Firefox, щоб створити робочі атаки для шести версій браузера.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
Штучний інтелект пришвидшує пошук програмних вразливостей — але не обов’язково їх перевірку й усунення. Він може допомогти фахівцям раніше помітити помилки в коді, а зловмисникам — використати відкриту інформацію про виправлення, поки оновлення ще не встановили всі користувачі. Тож важливо не лише знаходити проблеми, а й перевіряти повідомлення, готувати виправлення та оперативно їх розгортати.3
Знахідок стає більше, але їх ще треба перевірити
Palo Alto Networks повідомила The Economic Times, що за допомогою ШІ виявила понад 14 000 раніше не помічених вразливостей у відкритому програмному забезпеченні. За словами компанії, за три тижні система також виконала обсяг роботи, співмірний із роком ручного тестування на проникнення.19 Це результат, озвучений самою компанією; доступні джерела не підтверджують його як незалежний бенчмарк.
Цифри Anthropic показують, чому швидше виявлення не означає, що всі знайдені проблеми підтвердили або виправили. Компанія заявила, що за шість місяців її моделі виявили понад 29 000 можливих вразливостей, тоді як люди вручну перевірили й відсортували приблизно 6 000. Це різні категорії: потенційна знахідка не обов’язково є підтвердженою вразливістю, а перевірена проблема — ще не виправлення, яке команда проєкту внесла в код.
8 жовтня Anthropic відкрила для відповідних проєктів із відкритим кодом безкоштовний сервіс OSS Scanner. Команди можуть добровільно долучитися й отримувати періодичні перевірки моделями компанії, зокрема Claude Mythos. Звіти можуть надходити супроводжувачам проєктів без попередньої перевірки людиною. Такий підхід потенційно швидше привертає увагу до проблем, але водночас робить особливо важливими якість і кількість повідомлень. Наведені джерела не дають змоги підтвердити точні підсумки на 2 жовтня або кількість виправлень, внесених у першоджерельний код.
Вузьке місце — перевірка та випуск виправлень
Anthropic визнає, що людських ресурсів для перевірки не вистачає, а TechTarget описує OSS Scanner як інструмент, що переносить більшу частину подальшої роботи на супроводжувачів проєктів. Корисну знахідку ще потрібно відтворити, оцінити її вплив, підготувати й протестувати виправлення та випустити його. Більше повідомлень саме по собі не означає, що роботу завершено.
Для проєктів із обмеженими ресурсами особливо важливі повідомлення, які можна відтворити й які чітко пояснюють, якого коду стосується проблема та до чого вона може призвести. Організації, що залежать від програм із відкритим кодом, також можуть підтримувати роботу з їхнього супроводу й захисту: Фонд електронних рубежів (EFF) окремо закликав збільшити фінансування таких проєктів. Водночас надані джерела не підтверджують конкретних тверджень про вигорання супроводжувачів чи кадрові зміни в окремих командах.
Поки користувачі чекають на оновлення, є «вікно» для атаки
ШІ може допомогти захисникам знаходити помилки, але технічні деталі виправлень іноді дають підказки й нападникам. Epoch AI повідомила, що модель GLM 5.3 від Z.ai використала публічні виправлення Firefox, які ще не дійшли до користувачів, щоб створити робочі атаки для шести версій браузера. За оцінкою Epoch AI, гранична вартість однієї успішної атаки становила близько 1 000 доларів.3
Це був контрольований експеримент, а не свідчення того, що атаки застосували проти користувачів Firefox. Але він демонструє ризик так званого «вікна між виправленням і оновленням»: періоду, коли інформація про патч уже доступна, а користувачі ще не отримали або не встановили оновлення. За повідомленнями вторинних джерел, Mozilla усунула пов’язану вразливість у Firefox 159.0.2
9
Висновок не в тому, що публікувати виправлення небезпечно: саме оновлення захищають користувачів. Радше захисникам потрібно враховувати, що технічні деталі можуть швидко проаналізувати, — а отже, своєчасне встановлення патчів має особливе значення.3
Великі числа потребують контексту
Жовтневий Patch Tuesday від Microsoft показує, чому кількість виправлень варто читати уважно. В офіційних примітках Microsoft зазначено 1 468 CVE, тоді як Veracode наводить 1 413 вразливостей у цьому випуску. Доступні джерела не пояснюють розбіжність. Veracode також повідомляє, що оновлення усувало вразливість Windows Shell, яку вже використовували в атаках. Сама кількість проблем не пояснює, чому їх виявили так багато і скільки з них знайшли за допомогою ШІ.
Інший приклад показує, скільки роботи може потребувати реагування на критичні проблеми: за даними CERT-EU, команда PHP оголосила про дві критичні вразливості 20 жовтня, а наступного дня випустила виправлення. Reuters повідомляло, що семеро фахівців із кібербезпеки попередили: виявлені за допомогою ШІ вразливості можуть призвести до нових збоїв.17 Це попередження про можливі наслідки, а не доказ того, що кожна така знахідка неминуче спричинить інцидент.
Чи робить швидший пошук інтернет безпечнішим?
ШІ допомагає захисникам раніше помічати слабкі місця, але експеримент із Firefox показує, що він також може прискорити створення експлойтів.3 Наявні джерела не дають відповіді, хто загалом отримає більшу перевагу. Найнагальніше завдання — перетворювати знахідки на перевірені проблеми та швидко розгортати виправлення. Інакше потік повідомлень лише збільшуватиме чергу роботи для супроводжувачів і користувачів.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ШІ пришвидшує пошук програмних вразливостей — але не їх виправлення"?
Palo Alto Networks повідомила, що за три тижні ШІ допоміг виявити понад 14 000 раніше невідомих вразливостей у відкритому програмному забезпеченні.
What are the key points to validate first?
Palo Alto Networks повідомила, що за три тижні ШІ допоміг виявити понад 14 000 раніше невідомих вразливостей у відкритому програмному забезпеченні. Anthropic заявила про понад 29 000 можливих вразливостей за шість місяців, але фахівці вручну перевірили й відсортували приблизно 6 000.
What should I do next in practice?
У лабораторному експерименті Epoch AI модель GLM 5.3 використала оприлюднені, але ще не доставлені користувачам виправлення Firefox, щоб створити робочі атаки для шести версій браузера.