База уязвимостей США получила более 45 000 записей за 7 месяцев, однако только 1,3% обнаруженных с помощью ИИ проблем были реально использованы в атаках
Бум обнаружения уязвимостей в коде с помощью искусственного интеллекта не привёл к ожидаемой волне кибератак. Согласно анализу компании VulnCheck, из 1 061 уязвимости, которые были найдены с помощью ИИ-инструментов или при их участии, только 14 случаев — 1,3% — получили подтверждение эксплуатации злоумышленниками. Этот показатель оказался примерно таким же, как для всех остальных уязвимостей, а не выше.
При этом количество обнаруживаемых уязвимостей резко выросло. Национальная база уязвимостей США (National Vulnerability Database, NVD) за период с 1 января по 27 июля 2026 года зарегистрировала 45 207 программных уязвимостей — почти столько же, сколько за весь рекордный 2025 год. При сохранении текущего темпа число записей по итогам года может вдвое превысить прошлогодний показатель.
Рост заметен и по отдельным компаниям. В июльском обновлении Oracle исправила 1 449 уязвимостей против 309 годом ранее, а Microsoft закрыла рекордные 622 проблемы, отдельно указав вклад инструментов искусственного интеллекта в их обнаружение. Однако анализ VulnCheck показывает, что увеличение количества найденных ошибок пока не сопровождается пропорциональным ростом атак.
Всего за первую половину 2026 года VulnCheck зафиксировала 495 известных случаев эксплуатации уязвимостей. При этом число опубликованных записей CVE выросло на 45% по сравнению с предыдущими периодами, тогда как количество реально используемых в атаках уязвимостей увеличилось только на 10%. Доля CVE, которые в итоге становятся частью атак, снизилась до 1,4% против максимума в 2,7% в конце 2023 года.
Отдельно исследователи проверили результаты проекта Glasswing компании Anthropic, который стал одним из самых громких примеров применения ИИ для поиска ошибок в коде. В мае Anthropic сообщила, что система Claude обнаружила 23 019 потенциальных проблем. Однако по данным VulnCheck, публичный журнал проекта больше не вырос после первоначальных 1 611 записей: из них только 126 получили идентификаторы CVE, а подтверждённую эксплуатацию в реальных атаках получила лишь 1 уязвимость.
По мнению VulnCheck, большая часть роста числа обнаруженных проблем связана не с появлением новых возможностей у атакующих, а с тем, что сами разработчики стали эффективнее искать ошибки в собственном ПО. Например, многие исправления в браузере Chrome были основаны на внутренних проверках Google, а не на сообщениях извне. Такая ситуация, впрочем, вносит свой вклад в снижение рисков: уязвимость, найденная и исправленная производителем до публикации, не становится доступной злоумышленникам.
При этом угроза ускорения атак остаётся. Среднее время между публикацией уязвимости и её первым использованием сократилось: медианное значение уменьшилось со 120 дней в 2025 году до 80 дней в первой половине 2026 года. Агентство кибербезопасности и защиты инфраструктуры США (CISA) уже рекомендует организациям вносить исправления в течение 3 дней для критичных уязвимостей с подтверждённой эксплуатацией.
ИИ также становится новой целью для атак. VulnCheck обнаружила 28 известных эксплуатируемых уязвимостей в системах искусственного интеллекта, а 10 из них уже использовались злоумышленниками. Среди примеров — атаки на платформу LangFlow, где через после серии ошибок удалось получить доступ к данным, включая учётные записи для сервисов вроде OpenAI и Claude, после чего злоумышленники запускали майнеры и пытались распространяться внутри инфраструктуры.
Пока что данные показывают, что ИИ заметно увеличил скорость поиска программных ошибок, но не создал подтверждённого преимущества для атакующих. Основной эффект от таких инструментов на текущем этапе заключается в том, что разработчики получают возможность быстрее находить и закрывать уязвимости до того, как ими воспользуются.
