Компанія OX Security провела масштабний аналіз 216 мільйонів виявлених проблем безпеки у 250 організаціях протягом 90-денного періоду. Результати дослідження, опубліковані у звіті за 2026 рік, вказують на суттєву зміну у динаміці кіберзагроз. Головний висновок полягає в тому, що, хоча загальний обсяг сповіщень про безпеку зріс на 52% порівняно з попереднім роком, кількість пріоритетних критичних ризиків збільшилася майже на 400%.
Цей стрімкий стрибок критичних вразливостей пов'язаний зі зростанням використання інструментів розробки з підтримкою штучного інтелекту (ШІ), що створює так званий «розрив у швидкості» (velocity gap) між швидкістю розробки та здатністю забезпечувати безпеку.
«Розрив у швидкості» означає, що щільність вразливостей з високим потенційним впливом зростає значно швидше, ніж здатність організацій їх ефективно виявляти, оцінювати та усувати. Використання ШІ в процесах розробки програмного забезпечення прискорює створення коду, але також потенційно генерує більше складних та неочевидних помилок, які можуть перетворитися на критичні вразливості.
Ці вразливості часто є більш глибокими та системними, що ускладнює їхнє виявлення традиційними методами статичного та динамічного аналізу коду. Зростання на 400% свідчить не просто про збільшення кількості вразливостей, а про значне збільшення частки серйозних вразливостей, які можуть мати катастрофічні наслідки для функціонування систем та безпеки даних.
- Організаціям, що використовують ШІ-інструменти: Усі компанії та установи, які активно впроваджують інструменти розробки з підтримкою ШІ або інтегрують ШІ-рішення у свої продукти та сервіси.
- Компаніям зі складними кодовими базами: Великі організації з багаторічною історією розробки, де ручний аудит стає неефективним, а інтеграція ШІ-рішень може додати нові вектори атак.
- Критичній інфраструктурі та державним установам: Для яких наслідки експлуатації критичних вразливостей є особливо руйнівними, загрожуючи національній безпеці та стабільності.
- Розробникам програмного забезпечення: Які повинні переглянути свої практики безпечної розробки (Secure SDLC) та адаптуватися до прискорених циклів розробки, що включають ШІ-генерований код.
- Пріоритизація критичних ризиків: Впровадження систем та методологій, що дозволяють ефективно пріоритизувати вразливості за їхнім потенційним впливом та ймовірністю експлуатації.
- Інтеграція безпеки в SDLC (DevSecOps): Застосування підходів DevSecOps для інтеграції інструментів та практик безпеки на всіх етапах життєвого циклу розробки програмного забезпечення, починаючи з проектування.
- Навчання та підвищення кваліфікації: Регулярне навчання розробників та фахівців з безпеки щодо нових типів вразливостей, що виникають через ШІ-допоміжну розробку, та методів їхнього виявлення.
- Використання передових інструментів: Впровадження сучасних інструментів аналізу безпеки додатків (SAST, DAST, SCA, IAST), які можуть ефективно працювати з кодом, згенерованим ШІ, та виявляти складні патерни вразливостей.
- Регулярний аудит та тестування на проникнення: Проведення незалежних аудитів безпеки та тестів на проникнення для виявлення прихованих критичних вразливостей, які могли бути пропущені автоматизованими засобами.