🎶Как ИИ взламывает код быстрее, чем компании успевают его патчить Гонка кибервооружений вышла на новый виток. В центре внимания автоматический поиск уязвимостей. ИИ-модели начали массово находить баги, которые люди не замечали десятилетиями. 🔍Исследователи натравили Claude Mythos на популярный прокси-сервер Squid. Итог - обнаружена критическая уязвимость Squidbleed (утечка данных пользователей из памяти), которая сидела в коде… с 1997 года. Почти 30 лет ручных аудитов не находили ее. ⚡️Штаты и Китай уже вовсю делят этот рынок. В рамках американского Project Glasswing та же модель Mythos вскрыла уязвимости в куче засекреченных госсистем США всего за несколько часов. В ответ китайцы со своим ИИ Tulongfeng, уже якобы нашли более 3400 программных уязвимостей.

🟦ИИ на стороне врага. Хакеры активно юзают LLM, чтобы мгновенно разбирать чужой софт и штамповать эксплойты под свежие баги. Время между раскрытием уязвимости и первой атакой сократилось до минимума. В России за первые пять месяцев 2026 года в базе ФСТЭК уже зарегистрировано почти 4000 уязвимостей - это лавина, которая накрывает ИБ-отделы. 🟦ИИ-код от своих же. Разработчики пишут софт с помощью нейронок. Скорость кодинга выросла, но вместе с ней в корпоративные репозитории, Docker-контейнеры и API тоннами льется небезопасный код, который никто не проверяет. 🟦Главная проблема теперь - не найти баг, а успеть его закрыть. Компании тонут в отчетах сканеров. Голая оценка уязвимости по шкале CVSS больше не работает.

Рынок срочно перестраивается. Компании уже внедряют генеративный ИИ в свои системы управления уязвимостями (Vulnerability Management), чтобы хоть как-то автоматизировать разбор этого завала. 🦔 CyberYozh

Вот вам еще одно исследование, тоже вполне себе флеймовое. Авторы использовали серьезный набор данных — более 100 000 разработчиков GitHub плюс внутренняя телеметрия Microsoft по использованию AI-инструментов. Метод — сопоставленный событийный анализ (каждого, кто внедрил инструмент, сравнивают с близнецом-разработчиком на год раньше, чтобы отделить эффект инструмента от общей волны внедрения AI). Задача исследования — выяснить, как растет отдача по мере внедрения AI-инструментов и доходит ли эффект до конечного продукта. На уровне написания кода прирост огромный и растёт с каждым поколением. По числу коммитов накопленный эффект: ▪️ автодополнение — +40% ▪️ + синхронные (интерактивные) агенты — +140% ▪️ + асинхронные (автономные) агенты — +180% Но дальше по цепочке выигрыш стремительно затухает. Те же 180% по коммитам превращаются в +50% по числу проектов и всего +30% по фактическим выпускам. У синхронных агентов разрыв ещё нагляднее: +741% строк кода, +65% пул-реквестов — и лишь +20% релизов. Основная гипотеза, что происходит — в цепочке остаётся слабое звено, то есть человек. Громадный выигрыш в разработке и генерации кода дальше упирается в живого ревьюера — code review это же очень важная стадия, как можно доверять тупой машине? — и там и пропадает. Кстати, аналогичную картину авторы видят в приложениях в App Store, Chrome и Google Play — количество новых приложений выросло значительно, но общее использование приложений по площадкам осталось прежним. Подавляющее большинство новых приложений не смогли набрать даже минимальную аудиторию. Собственно, это полностью согласовывается с общей идеей — узкое место просто переехало в маркетинг приложения. https://www.nber.org/papers/w35275