AI talál hibát, a javítás nem bírja
„Az AI a sebezhetőségek felderítésének egyik meghatározó eszköze lett, és a talált hibák tempója próbára teszi a javítási és közzétételi kapacitást.”
Ellennarratíva
Az AWS- és a Zhipu-eset szerint a téves riasztások és az ellenőrizetlen gyártói közlések miatt a találatok egy része nem megbízható. Az AWS-kritika a hitelesítési terhet és a bizalmi rést tartja a fő problémának.
Hordozók
OpenAI (GPT-6 Cyber, közzétételi terv), Google (Chrome, Gemini Cyber), Anthropic (OSS-biztonsági program), PHP fejlesztők, Wiz, OWASP OASIS, Nemzeti Kiberbiztonsági Intézet
Elemzés
A narratíva szerint a támadó és a védő oldal is AI-val keres hibát, és a felderítés olcsóbbá válása a javítás és a közzététel rendjét borítja fel. A PHP-eset megmutatta, hogy ez széles körű kiesést okozhat: a közzététel után kormányzati weboldalak kerültek offline módba. A laborok a kibermodelleket (GPT-6 Cyber, Gemini Cyber) és ingyenes OSS-vizsgálatokat védelmi képességük bizonyítékaként mutatják be, ami üzleti érdek is egyben. A gyenge pont a hitelesség: a téves riasztások ugyanazon a csatornán érkeznek, mint a valós találatok. A beszámolók szerint a hibák megtalálása könnyebb lett, a javításuk viszont nehéz maradt. A teher a nyílt forráskódú karbantartókon csapódik le.
A tét: Hogy a sebezhetőség-felderítés iparosodása több biztonságot hoz-e, vagy a javítási kapacitás összeomlását.
Narratíva-alszálak
Modellek és agentek mint hibavadászok
A gyártói modellek és a biztonsági agentek egy-egy bejelentésben tucatnyi és ezres nagyságrendű közötti sebezhetőséget jelentenek. Ilyen találatokról szólnak a beszámolók a Firefox, a Linux, az Android, a Snowflake belső rendszerei és nyílt forráskódú könyvtárak esetében.
A felderítési oldalt mutatja: a gyártók és biztonsági cégek maguk közlik a találati teljesítményt. A bizonyíték ezért nagyrészt önbevallott, a külső ellenőrzés hiányzik vagy vitatott, a téves riasztások pedig bizalmi rést nyitnak.
▲ csúcson · bizonyíték: közepesValós találatok terhelik a karbantartókat
Az AI-alapú hibakeresők által talált hibák mennyisége túlterheli a nyílt forráskódú karbantartókat, és kiadásokat is késleltet.
Nem a felderítés, hanem a befogadó oldal kapacitása a tárgy. A Linux-kernel kiadásonként közel 2000 sebezhetőséget kap, a PostgreSQL 19 kiadása pedig egy AI-review által talált 40 hiba miatt csúszik. A hibák tehát valósak, mégis a javítási és kiadási ciklus szenved.
→ tartós · bizonyíték: erősHamis AI-jelentések bénítják a jutalomprogramokat
A hallucinált, érvénytelen AI-generált hibajelentések áradata miatt projektek és cégek felfüggesztik vagy díjkötelessé teszik a hibabejelentési csatornákat.
A mechanizmus a zaj: érvénytelen jelentések szennyezik a CVE-folyamatot és a bug bounty programokat. A válasz a csatorna felfüggesztése (Google OSS VRP, 2027-ig) vagy a díjköteles beküldés (Firedancer, 1 SOL).
▲ csúcson · bizonyíték: erősKözzétételi rend újratervezése PHP után
Az AI által talált két kritikus PHP-sebezhetőség (PHP2Shell) nyomán európai és amerikai kormányzati és szervezeti weboldalak álltak le, a magyar Nemzeti Kiberbiztonsági Intézet riasztást adott ki. Az OpenAI ezután ötlépcsős közzétételi tervet vázolt fel. Ezzel párhuzamosan AI-szereplők és szakmai szervezetek tömeges javítási kezdeményezéseket és gyorsított karbantartói csatornákat indítottak.
Koordinációs és intézményi szálról van szó. A középpontjában egy konkrét válságeset (PHP2Shell, javítás: október 21.) és az OpenAI erre adott protokollja áll. Mellette a tágabb intézményi válasz: gyorsított karbantartói csatornák (Anthropic), tömeges javítási kezdeményezések (OWASP OASIS) és koalíciók (Chainguard Athena). Az egyes projektek terhe nem tárgya a szálnak.
→ tartós · bizonyíték: közepesAz automatikus javítás megbízhatatlansága
Egy mérés szerint az AI-generált sebezhetőségi javítások nagyjából csak negyede javítja tisztán a hibát (hat CVE, 6080 próbálkozás). A Veracode szerint az AI-kódolási feladatok 44%-a kockázatos sebezhetőséget visz be. Közben a GitHub általánosan elérhetővé tette az agentalapú automatikus javítást (Agentic Autofix).
A javítási oldalt méri: a hiba megtalálása után azt vizsgálja, hogy az AI-javítás tiszta-e, és ki felel érte, ha nem az. Erre példa a Wiz és a GitHub vitája a Copilot Autofix által állítólag írt Snowflake-hibáról.
Az alszálak sztorijai
Modellek és agentek mint hibavadászok
Valós találatok terhelik a karbantartókat
Hamis AI-jelentések bénítják a jutalomprogramokat
Közzétételi rend újratervezése PHP után
Az automatikus javítás megbízhatatlansága
Google-keresési érdeklődés
Magyarország
| Téma és keresőkifejezés | Hetente | Átlag |
|---|---|---|
| AI talál hibát, a javítás nem bírjasebezhetőség | 0.1 | |
| Modellek és agentek mint hibavadászokbiztonsági rés | 1 | |
| Valós találatok terhelik a karbantartókatbiztonsági javítás | 0 | |
| Hamis AI-jelentések bénítják a jutalomprogramokatai slop | 1.3 | |
| Közzétételi rend újratervezése PHP utánphp sebezhetőség | 0.7 | |
| Az automatikus javítás megbízhatatlanságacve | 2.4 |
Világ
| Téma és keresőkifejezés | Hetente | Átlag |
|---|---|---|
| AI talál hibát, a javítás nem bírjavulnerability discovery | 0 | |
| Modellek és agentek mint hibavadászokai vulnerability scanner | 0 | |
| Valós találatok terhelik a karbantartókatsecurity patch | 2.7 | |
| Hamis AI-jelentések bénítják a jutalomprogramokatai slop | 4.1 | |
| Közzétételi rend újratervezése PHP utánphp vulnerability | 3 | |
| Az automatikus javítás megbízhatatlanságaautomated vulnerability fix | 0 |
Google Trends relatív keresési index a vizsgált időszakban, heti átlag. Egy narratíva és alszálai egy összevetésben szerepelnek: a 100 a csoport legkeresettebb napja, a számok csak a csoporton belül vethetők össze. A keresőkifejezést gépi elemzés választotta; a kifejezés keresettségét méri, nem a narratíva elterjedtségét.
Kit érint és hogyan
- senior fejlesztő
- Az AI-javításokat ne fogadd el ellenőrzés nélkül. Egy mérés szerint hat CVE-n, 6080 próbálkozásból csak nagyjából minden negyedik javított tisztán. A javítást regressziós teszttel kell bizonyítani.
- CTO
- A frissítési ciklust gyorsabb ütemre kell állítani. A PHP2Shell-esetben a sürgősségi javítás közzététele után kormányzati weboldalak kényszerültek offline módba, a reakcióidő tehát kritikus.
Itthon
A vizsgált időszakban egy hazai érintettségű eset van: a Nemzeti Kiberbiztonsági Intézet riasztást adott ki az AI által talált PHP-hibák miatt (2026-10-19-01). Ezen túl a hazai nyom csekély.
Heti alakulás
Fordulópontok
Alátámasztó sztorik
Gépi elemzés a sztorik címe és összefoglalója alapján, ellenőrző körrel. A tények forrása a sztorinál hivatkozott cikk.