A kiberbiztonságban harminc éven át volt egy hallgatólagos egyezség: a sebezhetőség felfedezése és annak fegyverré alakítása között volt egy pufferidőnk. Ez a több hónapos periódus adta a sebezhetőségkezelési programok gerincét, lehetővé téve a prioritást, a tesztelést és a telepítést. Ez a korszak véget ért. A mesterséges intelligencia ezt az időablakot hónapokról órákra zsugorította, ezzel alapjaiban rengetve meg a hagyományos védekezési stratégiákat.
Az AI által felgyorsított fenyegetések új valósága
A változás sebessége és mértéke nem elméleti. Konkrét adatok bizonyítják a paradigma-váltást. Az Anthropic 2026 májusi jelentése szerint a Claude Mythos Preview modelljük egyetlen hónap alatt több mint 10 000 magas vagy kritikus besorolású sebezhetőséget azonosított rendszerszinten fontos szoftverekben. Amikor a modellt a Firefox böngészőre irányították, 181 működő exploitot generált, szemben az előző modell által produkált kettővel. A felfedezések között szerepelt egy 27 éve rejtőző hiba az OpenBSD-ben is. A jelentés írásakor ezen sebezhetőségek több mint 99%-a még javítatlan volt.
AI Biztonság kérdésed van? Itt elérsz minket:
Ez nem csupán a sebezhetőségek felderítéséről szól, hanem azok ipari léptékű kihasználásáról is. Egy 2026 februári AWS jelentés autonóm támadóeszközökről számolt be, amelyek gyenge hitelesítő adatokat használtak ki tömegesen. A Zero Day Clock adatai szerint a kihasználásig eltelt átlagos idő (Time-to-Exploit, TTE) a 2024-es ~53 napról 2026-ra körülbelül 24 órára csökkent.
Eközben a védekező oldal lemarad. A Verizon 2026-os DBIR jelentése szerint, amely több mint 13 000 szervezetet vizsgált, az ismert és már kihasznált sebezhetőségek javításának medián ideje 43 napra nőtt az előző évi 32 napról. A kezdeti hozzáférések 32%-a továbbra is sebezhetőségek kihasználásán keresztül történik, és a teljesen javított szervezetek aránya 38%-ról 26%-ra esett vissza. A számok egyértelműen mutatják: miközben a támadók sebessége exponenciálisan nő, a védekezés hatékonysága csökken.
AIQ nézőpont: Mit jelent ez az EU-s vállalati környezetben?
Az AIQ szerint ez a drámai gyorsulás messzemenő következményekkel jár a magyar és európai uniós vállalatok számára, különösen a GDPR és a készülő EU AI Act szempontjából.
- GDPR és az incidensreagálás: A GDPR által előírt „indokolatlan késedelem nélküli”, de legkésőbb 72 órán belüli bejelentési kötelezettség teljesen új értelmet nyer, ha egy incidens a felfedezéstől a teljes kompromittálásig órák alatt lezajlik. A kockázatelemzéseknek és az adatvédelmi hatásvizsgálatoknak (DPIA) már ezt az új, AI-vezérelt támadási sebességet kell alapul venniük. A reaktív védelem egyszerűen nem elég gyors a megfelelőség fenntartásához.
- EU AI Act és a rendszerszintű kockázat: Az AI Act szigorú követelményeket támaszt a magas kockázatú AI rendszerekkel szemben, beleértve a kiberbiztonságot. Ha egy AI rendszer olyan szoftveres környezetben fut, amelynek sebezhetőségeit órák alatt ki lehet használni, az az egész AI rendszer megfelelőségét és biztonságát kérdőjelezi meg. Ez a jelenség az OWASP LLM Top 10 listáján szereplő LLM10: Insecure Supply Chain (Nem biztonságos ellátási lánc) kockázatot erősíti, hiszen az AI-t futtató infrastruktúra is az ellátási lánc része.
- OWASP LLM Top 10 és a túlzott bizalom: A hagyományos sebezhetőségkezelési folyamatokba vetett hit az LLM09: Overreliance (Túlzott bizalom) kategóriájába esik. A szervezeteknek felül kell vizsgálniuk azt a feltételezésüket, hogy a CVSS pontszám alapú prioritás és a havi patch ciklusok elegendő védelmet nyújtanak. A valóság az, hogy egy alacsonyabb besorolású, de AI segítségével könnyen kihasználható sebezhetőség nagyobb valós kockázatot jelenthet, mint egy elméletileg kritikus, de nehezen fegyverré tehető hiba.
A megoldás: Folyamatos validáció a Breach and Attack Simulation (BAS) segítségével
Ha a reaktív javítás már nem működik, a fókuszt a proaktív validációra kell helyezni. A cél már nem az, hogy minden sebezhetőséget megpróbáljunk javítani, hanem az, hogy megértsük, melyek azok, amelyek a mi konkrét környezetünkben, a meglévő védelmi rendszereink (WAF, IPS, EDR) mellett is ténylegesen kihasználhatók. Ezt a váltást a Gartner „Adversarial Exposure Validation”-nek nevezi.
Itt lépnek képbe a Breach and Attack Simulation (BAS) platformok. A cikkben említett Picus Security rendszere például egy multi-agenses megközelítést alkalmaz. Egy ügynök azonosítja a fenyegetést, mások validálják az információkat, egy „építő” ügynök pedig a támadói taktikákat (TTP) biztonságos, szimulációra kész támadási láncokká alakítja. Ez a folyamatos, automatizált tesztelés valós képet ad a védelem réseiről anélkül, hogy a termelési rendszereket veszélyeztetné.
Ahogy a Picus technológiai igazgatója, Volkan Erturk fogalmazott, egy naivan instruált modell „visszaadhat egy éles malware mintát, vagy olyan technikákat hallucinálhat, amiket egy adott csoport soha nem használ.”
Vállalati kontextusban ez azt jelenti, hogy a kontrollált, kurált és biztonságos támadásszimuláció elengedhetetlen. Az ellenőrizetlen AI-eszközök biztonsági tesztelésre való használata önmagában is kockázatot hordoz.
Audit tanulságok és a következő lépések
Az AI által átformált fenyegetési környezetben a biztonsági auditok és a red teaming szerepe felértékelődik. Már nem elegendő a sebezhetőségi listák puszta áttekintése. Az auditoknak arra kell fókuszálniuk, hogy a szervezet képes-e valós időben azonosítani és reagálni a kihasználható sebezhetőségekre. A fő kérdés nem az, hogy „Mi a CVSS pontszám?”, hanem az, hogy „Ki tudja ezt használni ellenünk, és mennyi idő alatt?”
Az AIQ álláspontja szerint a magyar vállalatoknak sürgősen át kell térniük a reaktív sebezhetőségkezelésről egy proaktív, fenyegetés-informált védekezési modellre. Ez magában foglalja a BAS-eszközök bevezetését, a rendszeres, AI-tudatos red teaming gyakorlatokat és a biztonsági kontrollok folyamatos validálását. A túlélés záloga ma már nem a gyorsabb foltozás, hanem a pontosabb, kontextus-alapú kockázatkezelés.