Microsoft закрыла 1411 уязвимостей за месяц: ИИ ищет дыры быстрее, чем люди их латают

Спор о том, умеет ли ИИ писать нормальный код, всё ещё идёт. А тем временем другой ИИ молча находит ошибки в уже написанном коде, причём быстрее, чем люди успевают их исправлять. В октябре 2026 года Microsoft выпустила ежемесячные обновления безопасности с 1411 исправлениями. За весь 2025 год в таких выпусках набралось 1130, а за 2024-й — 1009. Один месяц обогнал целый год.

Рекорд каждый месяц

Ещё в июне 206 закрытых уязвимостей считались рекордом. В июле Microsoft предупредила клиентов, что патчей в каждом выпуске станет больше, и дальше цифры пошли вверх: около 600 в июле (разные издания насчитали от 570 до 622), около 420 в августе, 974 в сентябре и 1411 в октябре. Прежний годовой рекорд в 1245 уязвимостей держался с 2020 года, а в октябре его перекрыл один-единственный выпуск. Эксперт Zero Day Initiative прокомментировал июльский релиз так: «Багапокалипсис наконец наступил».

Главный источник потока Microsoft назвала сама. Это MDASH, агентная система поиска уязвимостей, которая объединяет несколько моделей, в том числе сторонних. Работает она в два этапа. Сначала сканер проверяет критичные бинарные файлы Windows, а модели разных семейств спорят друг с другом о каждой находке. Затем отдельный конвейер отсеивает оставшиеся ложные срабатывания. До инженеров доходят только те находки, в которых система уверена больше всего. ИИ также предлагает варианты исправлений и подбирает регрессионные тесты, а люди оценивают риски и принимают решения.

Почему это стало возможным именно сейчас? Раньше главным инструментом был фаззинг: программе скармливают миллионы испорченных входных данных и смотрят, на чём она упадёт. Фаззер не понимает код и пропускает логические ошибки, которые видны только тому, кто читает исходники. Языковая модель читает код почти как человек, только в разы быстрее. В 2024 году ИИ-агент Big Sleep нашёл эксплуатируемую ошибку в SQLite, а в 2025-м на финале DARPA AI Cyber Challenge системы нашли 54 из 63 спрятанных уязвимостей и в среднем готовили исправление за 45 минут при цене около 152 долларов за задачу.

PHP2Shell: дыры старше десяти лет

Та же технология работает и с чужим кодом. 21 октября PHP выпустил экстренные обновления для двух критических уязвимостей в самом интерпретаторе, названных PHP2Shell. Через них можно выполнить код на веб-сервере одним запросом без авторизации, ещё до запуска кода сайта. Ошибки тянутся с PHP 5.4, вышедшего в 2012 году. Их независимо друг от друга нашли две команды, Calif и Wiz, и обе использовали ИИ.

Раскрытие по плану сорвалось: детали утекли на Hacker News, а ханипот Amazon зафиксировал попытку эксплуатации за четыре дня до публичного объявления. CISA внесла обе уязвимости в каталог активно эксплуатируемых, а по оценке Censys, даже после этого в сети оставалось больше 32 миллионов PHP-сервисов с уязвимыми версиями. При этом авторы находки сами остужают пыл: по словам Calif, они работали с общедоступными моделями, а знание истории PHP значило больше, чем сама модель. ИИ здесь был очень быстрым помощником опытного исследователя.

Находить дёшево, чинить дорого

У медали есть обратная сторона. Каждую из 1411 заплаток кто-то должен скачать, протестировать и развернуть. По опросу Socura, 22% британских руководителей по безопасности брали больничный или уходили в отпуск, лишь бы переждать Patch Tuesday, а 41% работали сверхурочно. Oracle добавила ежемесячные выпуски критичных патчей, VMware делает ставку на Express Patches.

В открытом коде всё ещё острее. Проект curl закрыл программу вознаграждений за уязвимости: команда тонула в отчётах, многие из которых сгенерировал ИИ, и среди семи отчётов за неделю не нашлось ни одной реальной уязвимости. У Microsoft ложные находки отсеивает отдельный конвейер, у волонтёров его нет.

Что делать на практике

Первое: если вы отвечаете за инфраструктуру, переходите на автоматическую установку обновлений вроде Windows Autopatch и заранее договоритесь о процессе для срочных внеплановых патчей. Второе: проверьте, какие версии PHP работают у вас в проде, особенно старые, и обновите их. Третье: не ждите, что рекордные цифры помогут расставить приоритеты. Количество найденных багов показывает, насколько хорошо ИИ ищет, но не сколько из них реально опасны именно для вас.

Время между находкой и атакой сокращается, потому что те же модели помогают превращать баг в рабочий эксплойт. Выиграют те, кто научится обновляться так же быстро, как ИИ ищет дыры. Остальным придётся привыкать к Patch Tuesday на полторы тысячи пунктов.