تحلیل‌های جدید شرکت Detectify بر روی داده‌های ۱,۲۹۳ مشتری در ایالات متحده، بریتانیا و کشورهای نوردیک نشان می‌دهد که اکثر آسیب‌پذیری‌های جدی در سیستم‌های Internet-facing (رو به اینترنت)، ماه‌ها بدون اصلاح باقی می‌مانند. بر اساس این گزارش، ۹۷٪ از آسیب‌پذیری‌های با شدت Critical و High در کشورهای نوردیک، ۹۲٪ در بریتانیا و ۸۶٪ در ایالات متحده، بیش از ۹۰ روز است که در معرض تهدید قرار دارند.
شکاف بین شناسایی و اصلاح
نکته قابل توجه این است که سازمان‌های مذکور از وجود این حفره‌ها آگاه هستند. Detectify تأکید می‌کند که این یافته‌ها از طریق تست‌های Payload-based تأیید شده‌اند؛ به این معنا که یک درخواست حمله واقعی ارسال شده و پاسخ سیستم بررسی شده است. بنابراین، این موارد صرفاً حدس نیستند، بلکه آسیب‌پذیری‌هایی هستند که اسکنر آن‌ها را قابل اکسپلویت (Exploitable) تشخیص داده است.
در این گزارش مفهومی به نام Risk Tolerance Drift مطرح شده است؛ وضعیتی که در آن آسیب‌پذیری‌ها به دلیل باز ماندن برای مدت طولانی، به طور پیش‌فرض به عنوان «ریسک پذیرفته شده» تلقی می‌شوند، در حالی که در واقعیت هیچ تصمیم آگاهانه‌ای برای پذیرش آن ریسک گرفته نشده است.
عملکرد ضعیف بخش دولتی
در بررسی بخش‌های مختلف، سازمان‌های دولتی با نرخ اصلاح تنها ۸.۳٪ برای آسیب‌پذیری‌های Critical و High، ضعیف‌ترین عملکرد را داشتند. در مقابل، شرکت‌های کالاهای مصرفی با ۴۶.۲٪، بخش فناوری با ۳۷.۴٪، بخش مالی و بانکی با ۳۰.۶٪ و تولیدکنندگان با ۲۳.۹٪ در رتبه‌های بعدی قرار گرفتند.
مدیرعامل Detectify، ریکارد کارلسون، دلایل این تأخیر در بخش دولتی را به موارد زیر نسبت می‌دهد:
- حجم بالای زیرساخت‌های قدیمی (Legacy Infrastructure)
- پراکندگی در مالکیت سیستم‌ها و نبود مسئولیت مشخص
- فرآیندهای طولانی تدارکات و مدیریت تغییر (Change Management)
- محدودیت در ظرفیت متخصصان امنیتی
- سیستم‌هایی که خاموش کردن آن‌ها برای اعمال Patch پیامدهای عملیاتی شدیدی دارد
سطح حمله و چالش‌های هوش مصنوعی
داده‌ها نشان می‌دهد ایالات متحده دارای بزرگترین Attack Surface (سطح حمله) اندازه‌گیری شده است، اما کمترین میزان نظارت را بر روی آن دارد. همچنین، رشد دامنه‌های تأیید شده در آمریکا طی یک سال حدود ۲۰٪ بوده است.
یکی از یافته‌های نوظهور، افزایش استقرار پلتفرم‌های هوش مصنوعی مانند Open WebUI و LibreChat در محیط‌های سازمانی است. گزارش‌ها حاکی از آن است که سازمان‌هایی که ابزارهای AI را به صورت عمومی در دسترس قرار داده‌اند، نرخ اصلاح آسیب‌پذیری‌های بحرانی را کمتر از نصف سایر سازمان‌ها دارند.
کارلسون هشدار می‌دهد که خطر اصلی، لزوماً استفاده از هوش مصنوعی نیست، بلکه تبدیل شدن این ابزارها به Invisible Infrastructure (زیرساخت نامرئی) است؛ یعنی ابزارهایی که توسط تیم‌های داخلی سریعاً مستقر می‌شوند اما هرگز وارد فرآیندهای موجود inventory، بررسی امنیتی و مدیریت آسیب‌پذیری (Vulnerability Management) نمی‌شوند.
