Ile jest nieobsłużonych zgłoszeń zasługujących na CVE?
HackerOne, jedna z platform obsługująca programy bug bounty, dająca możliwość w sposób legalny na poszukiwanie podatności w oprogramowaniu różnych firm, pisze wprost: widać wzrost w ilości zgłoszeń, które otrzymują (76% rok do roku) i duży wzrost w marcu 2026. Wzrost wiążą z wykorzystaniem narzędzi wspomaganych AI w poszukiwaniu podatności.
Co ciekawe widzą dodatkowo dwie rzeczy: zmniejszyła się mediana czasu naprawy podatności (metryka mean time to remediate - MTTR) i to dobrze, ale jednocześnie backlog niepoprawionych podatności sporo urósł, w tym także tych krytycznych. To oznacza, że potrzeba więcej czasu, aby je naprawić co powoduje, że wydłuża się okno, w którym jest możliwe ich wykorzystanie.
Co ważne na tego typu platformach zgłaszający musi dobrze uzasadnić wpływ błędu, więc dla krytycznych podatności często przygotowany jest szczegółowy PoC (Proof of Concept), zwykle kod, który potrafi po uruchomieniu wykorzystać dany błąd.
Jak to wygląda w przypadku podatności w kodzie źródłowym?
LLM’y są także z powodzeniem używane do poszukiwania podatności w kodzie źródłowym różnych programów i bibliotek, szczególnie tych o otwartym kodzie źródłowym. Każdy kto chce może pobrać kod i szukać takich błędów płacąc za wykorzystanie konkretnego LLM’a. Robią to też sami twórcy oprogramowania.
Przykład Mozilli i modelu Claude
W tym miesiącu Mozilla pochwaliła się, że tylko w kwietniu zidentyfikowała i poprawiła 423 podatności, więcej niż od stycznia 2025 do marca tego roku. Model Claude Mythos firmy Anthropic jest odpowiedzialny za zidentyfikowanie 271 z nich.
Podatności określanych przez Mozillę jako sec-high było 180. Liczba robi wrażenie, natomiast warto pamiętać, że nie każda z tych podatności oznacza, że będzie się ją dało wykorzystać.
Przypadek narzędzia curl
Z ciekawostek - po użyciu tego samego modelu Mythos, twórca popularnego narzędzia konsolowego curl znalazł tylko jedną podatność sklasyfikowaną jako low ,gdzie curl ma w sumie 188 nadanych identyfikatorów CVE (Common Vulnerability Enumeration) od 1998 roku.
Bezpieczeństwo w wyścigu z czasem
Podsumowując, podobnie jak w momencie, gdy weszły w użycie narzędzia typu fuzzer (automatyzujące znajdowanie podatności poprzez generowanie niepoprawnych danych wejściowych dla aplikacji, stosowanych np. dla testowania przeglądarek internetowych) mamy sytuację, gdzie w bezpieczeństwie wygląda, że przewagę mają atakujący a broniący muszą walczyć z czasem.
Z drugiej strony nie widać skokowego wzrostu w ilości podatności, które są aktywnie wykorzystywane (zestawienie KVE - Known Exploited Vulnerabilities).
