ИИ ускоряет процесс обнаружения и устранения уязвимостей безопасности в Windows

Windows развивает систему управления уязвимостями, поскольку достижения в области ИИ позволяют обнаруживать и анализировать бреши в безопасности быстрее и в большем масштабе.

ИИ ускоряет процесс обнаружения уязвимостей с обеих сторон. Он помогает защитникам находить и устранять уязвимости раньше. Он также помогает злоумышленникам искать уязвимости до того, как будут выпущены исправления, и анализировать опубликованные исправления после их выхода. Все это повышает важность своевременной защиты.

Наш подход прост: лидировать на протяжении всего жизненного цикла управления уязвимостями. Мы используем достижения в области ИИ для более раннего обнаружения и устранения уязвимостей, поддерживая при этом высокий стандарт качества, чтобы вы и ваша организация могли уверенно устанавливать обновления. Мы оперативно публикуем информацию о том, что именно мы исправляем, чтобы команды безопасности могли принять меры. Не менее важно и то, что мы укрепляем системы, которые помогают организациям быстро развертывать обновления и реагировать на возникающие проблемы.

С момента нашего последнего сообщения на эту тему мы продолжили развивать эту работу в таких направлениях, как обнаружение, исправление, проверка и развертывание уязвимостей.

Более раннее обнаружение уязвимостей

Выявление уязвимостей до того, как они могут быть использованы, остается лучшей возможностью снизить риски. Microsoft получает данные об уязвимостях в рамках ответственного раскрытия информации от исследователей безопасности и партнеров, в то время как наши инженерные команды и команды безопасности находят проблемы внутри компании. Эти пути объединяются через Центр реагирования на угрозы безопасности Microsoft (MSRC), который служит центральным узлом Microsoft для отчетности об уязвимостях, обновлений безопасности и скоординированного реагирования.

Мы все чаще используем ИИ, чтобы помочь командам безопасности и инженерам выявлять уязвимости и более эффективно реагировать на них. Одним из примеров является MDASH, агентский сканер кода, который использует несколько моделей ИИ и специализированных агентов для поиска и проверки потенциальных уязвимостей. Затем команды безопасности и инженеры рассматривают полученные результаты и определяют соответствующие меры реагирования, сохраняя человеческое суждение и ответственность в центре процесса.

Цель состоит не просто в том, чтобы найти больше проблем. Цель — выявлять значимые уязвимости раньше и делать результаты более пригодными для принятия мер. Используя возможности с поддержкой ИИ, мы можем отличать релевантные результаты от ложных срабатываний. Мы можем предоставлять нашим инженерам более качественную информацию. По мере ускорения процесса обнаружения уязвимостей эти возможности помогают нам более эффективно направлять инженерные ресурсы на уязвимости, которые могут повлиять на клиентов.

Более быстрый переход от обнаружения к исправлению

Более быстрое обнаружение уязвимостей полезно только в том случае, если инженерные процессы могут идти в ногу со временем. Мы применяем ИИ-помощь на протяжении всего процесса исправления, чтобы помочь инженерам оценить влияние, определить, какие версии Windows затронуты, выявить варианты в связанном коде, оценить варианты исправления, разработать стратегии бэкпорта для различных версий Windows, а также создать тесты безопасности и регрессионные тесты. Инженеры по-прежнему несут ответственность за проверку работы, принятие инженерных решений и контроль конечного результата. Это различие имеет значение. Наша цель — использовать автоматизацию и ИИ, чтобы помочь инженерам более эффективно исследовать и устранять проблемы, а не исключать инженерное суждение из решений по безопасности.

Укрепление проверки

Увеличение объемов обнаружения и исправления также требует систем проверки, способных работать в большем масштабе. Проверка Windows сочетает в себе несколько источников доказательств. Сегодня это внутреннее тестирование (flighting), функциональное тестирование, тестирование концепций безопасности (PoC), тестирование совместимости приложений и проверка с участием OEM-производителей, поставщиков средств безопасности, независимых разработчиков ПО (ISV) и клиентов через программу проверки обновлений безопасности (Security Update Validation Program). Мы также применяем возможности с поддержкой ИИ в таких областях, как выбор тестов, создание тестов, сортировка, анализ и отчетность. В совокупности эти сигналы предоставляют доказательства для инженеров, принимающих решения о качестве выпуска.

Дополнительные предварительные обновления, не связанные с безопасностью, остаются важной частью этого процесса. Организации могут устанавливать эти обновления на выбранные устройства до того, как контент станет частью ежемесячного обновления безопасности, что обеспечивает дополнительную проверку в реальных условиях на различных устройствах, приложениях, оборудовании и конфигурациях.

Делаем обнаружение уязвимостей практически применимым

Обнаружение с поддержкой ИИ помогает нам находить больше уязвимостей в большем объеме кода и на более ранних этапах процесса разработки, чтобы мы могли устранять их с помощью обновлений безопасности Windows. Фактически, ежемесячное обновление безопасности за октябрь 2026 года устранило более 1100 уязвимостей и рисков (CVE) для Windows.

Однако количество CVE не отражает всей картины. Мы используем ИИ для более глубокого изучения большего объема кода. Исследовательское сообщество продолжает находить и сообщать об уязвимостях. И мы приоритизируем исправления в режиме реального времени по мере выявления уязвимостей. Большее количество CVE не означает, что Windows стала менее безопасной. Это означает, что было обнаружено и закрыто больше уязвимостей, что сокращает возможности злоумышленников для их использования.

Прозрачность делает эти исправления более применимыми. Мы публикуем информацию CVE для уязвимостей, которые мы устраняем, независимо от того, были ли они сообщены внешними исследователями или выявлены нашими собственными командами и системами ИИ. Руководство по обновлениям безопасности содержит подробную информацию о серьезности, влиянии, возможности эксплуатации и рекомендации для каждой CVE. Мы также предоставляем эти данные в машиночитаемых форматах, включая рекомендации Common Security Advisory Framework (CSAF), документы Vulnerability Exploitability eXchange (VEX) и API, чтобы они могли напрямую поступать в ваши инструменты управления уязвимостями и обеспечения соответствия требованиям.

Команды безопасности могут использовать информацию CVE для:

• Отслеживания того, какие уязвимости устранены на каждом устройстве.
• Приоритизации того, какие устройства получают обновления в первую очередь, исходя из подверженности рискам, начиная с систем, выходящих в интернет, инфраструктуры идентификации и критически важных активов.
• Измерения защиты в днях с момента выпуска, а не в циклах исправления.

Поскольку обновления безопасности Windows являются кумулятивными, приоритизация должна определять, какие устройства обновляются первыми, а не то, какие исправления развертываются.

Когда защита становится доступной, начинается отсчет времени

Во «вторник исправлений» (Patch Tuesday) Microsoft выпускает ежемесячные обновления безопасности и информацию и ресурсы, необходимые для их оценки и развертывания. Это включает примечания к выпуску, информацию об уязвимостях (доступную в Руководстве по обновлениям безопасности), кумулятивные обновления (через Центр обновления Windows и другие каналы развертывания) и обновленные носители для обслуживания.

Выпуск обновления меняет объем общедоступной информации. До выпуска обновления уязвимости проходят сортировку в рамках скоординированного раскрытия. Как только обновление и соответствующие рекомендации становятся общедоступными, само исправление может быть проанализировано. Это означает, что злоумышленники могут использовать опубликованное исправление, чтобы лучше понять лежащую в основе уязвимость и разработать эксплойт — потенциально в течение нескольких часов.

Именно поэтому наша работа не прекращается с выходом обновления. Мы отслеживаем диагностические данные и отчеты о развертывании, службу поддержки и обращения клиентов, а также отзывы из социальных сетей и форумов. Автоматизированные системы помогают нам сопоставлять эти сигналы и выявлять закономерности для последующего инженерного анализа. Инженеры исследуют потенциальные проблемы, подтверждают их первопричину и определяют надлежащую реакцию. В зависимости от причины и степени влияния такая реакция может включать в себя обновленную документацию или рекомендации, обходной путь, откат известного выпуска (KIR) для смягчения последствий затронутого изменения или внеплановое обновление.

Вот как этот жизненный цикл выглядит на практике: более раннее обнаружение уязвимостей, разработка и проверка средств защиты, их прозрачная публикация, мониторинг производительности после выпуска и оперативное реагирование при необходимости. Но есть одна часть этого жизненного цикла, которую Microsoft не может завершить в одиночку: доставка этих средств защиты на устройства.

Сокращение окна уязвимости

Инженерные системы Microsoft — это лишь половина дела. Вторая половина — развертывание.

Время от появления обновления до его доставки на ваши устройства является частью вашего уровня безопасности. В недавней статье компании Anthropic отмечалось, что эксплуатация N-дневных уязвимостей (время между раскрытием уязвимостей и установкой исправлений лишь на некоторых устройствах) представляет собой «брешь в исправлении», поскольку большие языковые языковые модели теперь ускоряют разработку N-дневных эксплойтов до часов, а не дней, как раньше. Это создало повышенную угрозу безопасности для устройств, находящихся в «бреши в исправлении».

Тем не менее, некоторым организациям по-прежнему требуются недели на развертывание обновлений. Диагностические данные за август 2026 года показали, что среди измеренной выборки корпоративных клиентов Windows менее половины устройств установили обновление безопасности через две недели после выпуска, а примерно каждое четвертое устройство все еще не установило обновление спустя четыре недели. Этот разрыв между доступной защитой и развернутой защитой представляет собой окно уязвимости, которое нам необходимо закрыть.

Мы видим, что организации движутся в правильном направлении, ускоряя развертывание, переходя на поддерживаемые версии Windows и внедряя более новые возможности управления обновлениями и обслуживания. Но более быстрое развертывание должно стать стандартом, а не исключением.

Организациям следует сосредоточиться на четырех практических направлениях:

• Используйте поддерживаемые версии и устанавливайте обновления сразу после их выпуска.
• Сократите ненужную подверженность рискам и используйте базовые конфигурации безопасности для внедрения проверенных и зарекомендовавших себя в отрасли настроек.
• Поддерживайте обнаружение на конечных точках и применяйте доступные средства защиты.
• Установите эффективные практики реагирования и восстановления.

Среди них поддержание актуальности является основополагающим. Сокращение времени между публикацией исправления корпорацией Microsoft и его получением устройствами уменьшает период времени, в течение которого известная уязвимость остается неисправленной. Более новые поддерживаемые версии Windows и современные инструменты управления предоставляют возможности, предназначенные для того, чтобы сделать обновление более быстрым и менее разрушительным.

Для Windows 11 служба Windows Autopatch обеспечивает управление обновлениями с помощью Microsoft Intune, включая поэтапное развертывание и отчетность. Для подходящих устройств функция горячего патчинга (hotpatching) позволяет применять ежемесячные обновления безопасности без перезагрузки, в то время как стандартные кумулятивные базовые обновления требуются периодически.

также предоставляет путь к более быстрой защите для Windows Server при одновременном снижении требований к перезагрузке. Windows Server 2025 поддерживает обновления методом горячего патчинга в подходящих средах Azure, Azure Local и средах, подключенных через Azure Arc, а Azure Update Manager обеспечивает оркестрацию патчей.

Организациям, использующим более старые поддерживаемые версии клиентской ОС Windows или Windows Server, следует продолжать поддерживать эти среды в актуальном состоянии и использовать доступные им возможности управления обновлениями. Если необходимы расширенные обновления безопасности, рассматривайте их как временный мост при переходе на поддерживаемую версию, а не как замену модернизации.

Цель проста: превратить доступное исправление в развернутую защиту как можно быстрее. Максимально сокращайте окно развертывания обновлений вместо того, чтобы относиться к обновлениям безопасности как к задаче, которая может постоянно ждать.

Опережение темпов изменений

ИИ меняет скорость управления уязвимостями. Он дает защитникам новые способы поиска уязвимостей, анализа кода и разработки средств защиты. В то же время он может сократить время между публичным раскрытием информации и потенциальной эксплуатацией.

В Microsoft мы стремимся опережать эти изменения. Мы расширяем возможности обнаружения уязвимостей с помощью ИИ, помогаем инженерам эффективнее переходить от подтвержденных результатов к исправлениям, усиливаем проверку и мониторинг обновлений после выпуска. Мы также инвестируем в инструменты и возможности обслуживания, которые помогают организациям быстрее развертывать защиту. По мере внедрения ИИ в этот жизненный цикл человеческое суждение и ответственность остаются основой того, как мы создаем и обслуживаем Windows.

Наша просьба к каждой организации — действовать безотлагательно. Используйте поддерживаемые версии, поддерживайте многоуровневую защиту, следите за рекомендациями по безопасности и сделайте сокращение времени от выпуска до развертывания приоритетом безопасности.

Управление уязвимостями будет продолжать развиваться по мере развития ИИ. Мы намерены возглавить эту эволюцию, делиться полученным опытом и предоставлять клиентам информацию и инструменты, необходимые для действий. Но защита в конечном итоге зависит от быстрых действий обеих сторон: нашей способности находить, исправлять, проверять и публиковать защиту, а также вашей способности развертывать ее.

1. Measuring LLMs’ impact on N-day exploits. Jun 8, 2026. Anthropic

2. Обновления методом горячего патчинга для подходящих машин Windows Server 2025, подключенных через Azure Arc, предоставляются без дополнительной оплаты. Windows Server 2025 Datacenter: Azure Edition не требует Azure Arc для горячего патчинга, и обновления методом горячего патчинга включены в нем по умолчанию.