ИИ упрощает обнаружение скрытых недоработок в программном обеспечении, ставя перед компаниями новый вопрос: кто всё это исправит?
В октябре IBM и Red Hat объявили, что их инициатива Lightwell, которая использует ИИ и инженеров-людей для поиска и устранения уязвимостей безопасности в ПО с открытым исходным кодом, исправила более 400 ранее неизвестных уязвимостей в широко используемых библиотеках Java. Компании также расширили доступ к Lightwell Clearinghouse, которая позволяет бизнесу запрашивать приоритетные исправления для уязвимого ПО с открытым исходным кодом. По словам исследователей IBM, это происходит на фоне того, как инструменты на базе ИИ выявляют слабые места в безопасности с такой скоростью, которая грозит перегрузить традиционные процессы устранения неполадок.
«Неизвестное оказывается гораздо хуже, чем мы думали», — отметил Бен Бриарт (Ben Breard), старший главный менеджер по продукции в Red Hat, в интервью IBM Think. По его словам, недавние достижения в моделях ИИ показали, сколько еще уязвимостей остается нераскрытыми в программном обеспечении, которое компании используют каждый день.
Эта тенденция может изменить подход компаний к обслуживанию своих технологий. Согласно октябрьскому анализу IBM X-Force, публично раскрытые уязвимости в Microsoft, Oracle, Google Chrome и Apache выросли на 578% за первые девять месяцев 2026 года по сравнению с аналогичным периодом 2025 года. Исследователи заявили, что обнаружение с помощью ИИ может частично объяснить этот быстрый рост, хотя они не смогли точно определить степень его влияния.
Lightwell призвана справиться с растущей рабочей нагрузкой, помогая бизнесу проверять уязвимости, разрабатывать исправления и распространять их для уже используемого программного обеспечения. По словам Бриарта, сканеры на базе ИИ способны выявлять уязвимости в безопасности быстрее, чем компании успевают их устранять. Разработка и тестирование патчей требуют времени, особенно для более старого ПО, на которое компании по-прежнему полагаются. Lightwell стремится сократить этот разрыв, объединяя исправления с помощью ИИ с человеческим инженерным трудом и позволяя компаниям сообщать об уязвимостях конфиденциально до их публичного раскрытия.
Когда клиент сообщает о предполагаемой уязвимости, Red Hat удаляет идентифицирующую информацию перед тем, как инженеры ее оценят, рассказал Бриарт. Эта мера помогает защитить организацию и одновременно позволяет команде расследовать проблему.
Первая задача — определить, является ли находка действительной. Автоматизированные инструменты безопасности могут выдавать неполные или неточные отчеты, приводящие к ложноположительным результатам, поэтому инженеры должны изучить доказательства перед попыткой исправления.
«Мы должны провести предварительную проверку качества, чтобы убедиться, что это реально», — сказал Бриарт. Как только инженеры подтверждают наличие уязвимости, Lightwell помогает создать патч — модификацию программного обеспечения, которая устраняет недостаток. Затем рецензенты проверяют предложенное исправление и при необходимости консультируются со специалистами.
Команда также должна учитывать интересы клиентов, зависящих от старых версий программного обеспечения. Вместо того чтобы требовать масштабного обновления, Lightwell может адаптировать исправления под ту версию, которую компания уже использует — этот процесс известен как бэкпортинг.
Бриарт описал недавний инцидент, когда инженерам пришлось повторить часть своей работы после того, как исследователи раскрыли дополнительные уязвимости в момент, когда команда готовила пакет исправлений.
«Для него стали появляться новые CVE, [поэтому] нам пришлось остановить процесс, вернуться назад и сделать все заново», — пояснил он. Уязвимости и воздействия общего характера (CVE) — это стандартизированные идентификаторы для публично задокументированных сбоев в системе безопасности. По словам Бриарта, растущий объем отчетов осложнил работу по созданию надежных исправлений.
Перед распространением исправленного программного обеспечения Red Hat также тестирует, сохраняют ли изменения связи, от которых зависят другие приложения. Цель компании — устранить уязвимости, не создавая проблем, которые могли бы нарушить бизнес-операции.
По словам Бриарта, участвующие клиенты получают 14-дневный предварительный доступ к исправлениям до того, как Red Hat координирует более широкое раскрытие информации и начинает сотрудничество с мейнтейнерами проектов с открытым исходным кодом, чтобы сделать соответствующие исправления общедоступными.
Исследователи безопасности IBM зафиксировали растущее давление на организации с целью выявления и устранения слабых мест до того, как злоумышленники смогут их использовать. В своем «Индексе угроз X-Force за 2026 год» IBM сообщила о росте атак на общедоступные приложения и системы на 44% в годовом исчислении. Полученные данные показывают, как злоумышленники продолжают использовать слабые места в программном обеспечении, доступном через интернет.
Октябрьский анализ уязвимостей, проведенный компанией, показал, что 55,2% из 223 уязвимостей, обнаруженных с помощью ИИ, получили оценку высокой или критической степени опасности. Исследователи также классифицировали 91% уязвимостей как доступные удаленно, что означает, что злоумышленники потенциально могут получить доступ к затронутому ПО по сети.
Анализ не установил факт использования этих уязвимостей злоумышленниками. Тем не менее, он показал, что исследования с поддержкой ИИ выявляют недостатки, достаточно серьезные для того, чтобы привлечь пристальное внимание команд безопасности.
Собственные находки Lightwell включали серьезные слабые места. По состоянию на 14 октября Red Hat классифицировала восемь уязвимостей как критические, 26 — как имеющие высокую степень опасности и 49 — как среднюю, сообщил Бриарт. Эти цифры охватывают только находки с оценками серьезности, а не все уязвимости, которые исправила инициатива.
По словам Бриарта, первоначально усилия были сосредоточены на финансовых учреждениях, но затронутое программное обеспечение выходит далеко за рамки банковского дела. Многие отраслевые сферы зависят от одних и тех же библиотек с открытым исходным кодом, что делает исправления потенциально полезными для гораздо более широкого круга организаций.
Бриарт предупредил, что наличие уязвимости не означает, что каждое приложение, использующее затронутую библиотеку, сталкивается с одинаковым риском. Последствия зависят от того, как разработчики используют программное обеспечение и могут ли злоумышленники добраться до уязвимого кода.
По словам Бриарта, Red Hat планирует расширить Lightwell за пределы своей первоначальной работы с программным обеспечением на Java и Python, причем JavaScript станет одной из следующих целей. Компания также намерена предоставить доступ к своей клиринговой палате большему количеству клиентов по мере увеличения пропускной способности.
Это расширение может вовлечь инициативу в еще большее количество программных систем, которые бизнес использует для создания веб-сайтов, обработки информации и ведения повседневной деятельности.
Тем не менее, Бриарт отметил, что эта работа уже обнажила более масштабную проблему. Устраняя уязвимости, о которых сообщали клиенты, инженеры Lightwell обнаружили дополнительные ранее неизвестные слабые места. Полученные результаты свидетельствуют о том, что достижения в области ИИ могут продолжать создавать новые задачи в сфере безопасности, даже несмотря на то, что эта технология помогает инженерам более эффективно завершать исправления.
Бриарт выразил надедю, что автоматизированное сканирование и устранение неполадок со временем сделают программное обеспечение более безопасным. Однако в ближайшей перспективе компании столкнутся с необходимостью пересмотра многолетнего старого кода, поскольку ИИ выявляет слабые места, которые предыдущие проверки безопасности упустили из виду.
«Теперь нам приходится оглядываться назад на 10, 15, 20 лет разработки ПО и исправлять его, — сказал Бриарт. — Так что это главная задача».
