تعداد آسیب‌پذیری‌ها و اکسپلویت‌های مشترک (CVE) شناسایی و افشا شده در سال ۲۰۲۶ از مرز ۱۰۰,۰۰۰ مورد عبور کرد که نسبت به سال گذشته بیش از دو برابر است. عامل اصلی این جهش بی‌سابقه، استفاده گسترده از هوش مصنوعی (AI) در فرآیند شناسایی حفره‌های امنیتی است.
نقش هوش مصنوعی در تسریع شناسایی و اکسپلویت
استفاده از هوش مصنوعی در شکار آسیب‌پذیری‌ها (Vulnerability Hunting) باعث شده است که سازمان‌های بزرگ و نهادهای شماره‌گذاری CVE (مانند Microsoft و Oracle) با حجم عظیمی از گزارش‌ها روبرو شوند. این موضوع نه تنها تعداد گزارش‌ها را افزایش داده، بلکه پنجره زمانی بین انتشار پچ (Patch) و توسعه اکسپلویت (Exploit) را نیز به شدت کاهش داده است.
- طبق داده‌های CrowdStrike، حدود ۸۸ درصد از اکسپلویت‌هایی که با استفاده از کدهای اثبات مفهوم (PoC) عمومی انجام می‌شوند، ظرف ۴۸ ساعت پس از انتشار کد، عملیاتی می‌گردند.
- میانگین زمان بین انتشار یک CVE و اکسپلویت شدن آن، از ۱۲۰ روز در سال ۲۰۲۵ به ۸۰ روز در نیمه اول سال ۲۰۲۶ کاهش یافته است.
تغییر پارادایم: از مشکل امنیتی به مشکل داده‌ها
با توجه به این حجم از داده‌ها، رویکرد مدیریت آسیب‌پذیری باید تغییر کند. به جای تمرکز صرف بر رفع تمامی آسیب‌پذیری‌ها، سازمان‌ها باید بر مدیریت ریسک متمرکز شوند. دستورالعمل‌های جدید CISA تأکید دارند که اولویت‌بندی پچ‌ها باید بر اساس معیارهای ریسک واقعی، مانند در معرض بودن در اینترنت (Internet-exposed) بودن دارایی و وضعیت اکسپلویت فعال، انجام شود.
چالش‌های پروژه‌های متن‌باز
تولید انبوه گزارش‌های آسیب‌پذیری توسط عوامل مبتنی بر هوش مصنوعی، فشار بی‌سابقه‌ای بر توسعه‌دهندگان پروژه‌های متن‌باز (Open Source) وارد کرده است. پروژه‌هایی مانند curl با حجم عظیمی از گزارش‌های تولید شده توسط AI مواجه شده‌اند که باعث شده است استراتژی‌های گزارش‌دهی آن‌ها برای مدیریت این حجم از داده‌ها بازنگری شود.
