Az elmúlt évtizedekben a szoftverbiztonság két alapfeltevésre épült: sérülékenységek megtalálása és kihasználása ritka szakértelmet igényel, és a védelemnek van elég ideje a súlyosság felmérésére és a javításra. A frontier AI megjelenésével ezek a feltevések érvényüket vesztették. A hibák ma sokszor olyan sebességgel és mennyiségben válnak felfedezhetővé, amellyel a tipikus biztonsági, fejlesztési vagy üzemeltetési csapat nem képes lépést tartani; a támadók pedig sok esetben gyorsabban képesek kihasználni a hibákat, mint ahogy a szervezetek foltozni tudnák azokat.
A McKinsey Risk & Resilience Practice és Tech & AI csoport képviseletében Charlie Lewis, Florian Niedermann, Giulio Romanelli, Martin Harrysson és Sven Blumberg, valamint Larry Villella és Wolfram Salmanian közösen írták ezt az elemzést, amely bemutatja, miért szükséges új megközelítés a szoftverbiztonságban, mely négy beavatkozási pont a legfontosabb, és hogyan lehet elkezdeni a váltást.
A változás mértéke és bizonyítékai
A frontier modellek ma már képesek a szoftverek (konfiguráció, forráskód) „biztonsági szemmel” való elemzésére, működő exploitokat előállítani vagy ügynökök hadát bevetni a sebezhetőségek felkutatására és kihasználására. Az Anthropic Project Glasswing indulása után (2026. április) a vállalat május végén azt jelentette, hogy partnerei több mint 10 000 magas vagy kritikus súlyosságú sebezhetőséget találtak Claude Mythos Preview használatával; több partner tízszeresére növekedett a hibakeresési sebessége. A felfedezések között 20 évre visszanyúló Firefox‑hiba és 27 éve létező OpenBSD‑hibára vonatkozó jelentés is volt.
A nyilvános szoftverökológia szintjén is látható hatás: a Linux kernel verziókhoz rendelt kijavított CVE‑k száma például a 6.9–6.19 verziók körülivel összevetve 500 körüliről 7.0‑tól 1000 fölé nőtt, egy kernel karbantartó által megosztott adatok szerint. 2026 áprilisában a HackerOne 76 százalékos év‑év növekedésről számolt be a bejelentett sebezhetőségek számában, miközben a validnak ítélt találatok aránya nem csökkent.
2026 októberében kritikus PHP‑sebezhetőségeket (PHP2Shell) és egy magas súlyosságú Node.js hibát (Node2Shell) azonosítottak, amelyek távoli kódfuttatást tették lehetővé; PHP2Shell kihasználására vonatkozó kísérleteket is megfigyeltek. Emellett a CrowdStrike 2025‑re vonatkozóan 89 százalékos növekedést jelentett az AI‑t használó támadók számában.
Sebesség és gazdaságosság: a hátrány a védelemnél
A támadók ma órákon belül kihasználhatnak kritikus sebezhetőségeket; míg egy éve ez hetekbe telt. 2026‑ra mintegy kétharmadát azoknak a sebezhetőségeknek kihasználták a közzététel napján vagy azt megelőzően. Eközben a védelem lassult: a Verizon 2026‑os Data Breach Investigations Reportja szerint a teljes javítás mediánideje 32 napról 43 napra nőtt, és csak 26 százalékot javítottak teljesen.
A gyakorlatban ez azt jelenti, hogy míg a támadók órában dolgoznak, a vállalatok többsége hetekben. A gyors reagálás sokszor annyit jelent, hogy az érintett szolgáltatást ideiglenesen le kell állítani, és vállalni a működési következményeket. A vezető szervezetek ezért az észlelés, priorizálás és tartás automatizálását célozzák, emberi felügyelet mellett a kritikus döntésekhez.
Gazdasági szempontból a támadó oldalról az AI‑alapú sebezhetőség‑keresés olcsó és gyors lehet; a védelemnél ugyanakkor a frontvonalbeli modellekkel végzett átfogó vizsgálat költséges, és a javítások lassúak, drágák lehetnek. A korai alkalmazók szerint az első vizsgálat a legfontosabb rendszereknél napok‑hetek alatt lefutott, de a javítások hónapokat vehetnek igénybe.
Szabályozói figyelem és iránymutatások
A szabályozók is érzik a változást. 2026 áprilisában az amerikai pénzügyminiszter (Scott Bessent) és a Fed akkori elnöke (Jerome Powell) bankvezéreket hívtak össze az Anthropic Mythos modell biztonsági következményeiről beszélni. 2026. július 7‑én az Európai Központi Bank felügyeleti divíziója felkérte a „jelentős intézményeket”, hogy október 31‑ig nyújtsanak be cselekvési terveket a sebezhetőség‑ és patch‑menedzsment gyorsítására, a monitorozás és AI‑támogatta védelmek javítására, valamint a beszállítók és kiemelt eszközök védelmének megerősítésére; a levél a vezetési testületek felelősségét hangsúlyozta.
A Bank of England, a Financial Conduct Authority, a HM Treasury, a CERT‑EU és egyes nemzeti kiberügynökségek szintén közzétettek iránymutatásokat a frontier AI‑hoz köthető kockázatok kezelésére.
Négy kulcsfontosságú kar meghúzása
A szerzők szerint a sebesség önmagában nem elég; hatékony védelemhez négy egymásra épülő területet kell egyszerre fejleszteni:
- Cyber gyakorlatok: automatizált és AI‑tudatos detektálás, gyors tartás, erős identitás‑ és tanúsítványkezelés, többfaktoros hitelesítés és legkisebb jogosultság alapú hozzáférés.
- Üzemeltetési modell: tervezés, fejlesztés, verifikáció, kiadás és felelősségvállalás átalakítása úgy, hogy a hibák ne ismétlődjenek meg.
- Kockázat‑ és kontrollkeret: a hagyományos, időszakos ellenőrzésre épülő megközelítések nem működnek; a cél ma a lefelé mutató védelem—korlátozni, mekkora károkat okozhat egy javítatlan hiba.
- Technológia: befektetés az automatizáló platformokba, hiteles és biztonságos fejlesztői alapok biztosítása, valamint a kód‑ és komponens‑szabályozás beépítése a CI/CD folyamatokba.
Fontos gyakorlatok között említik, hogy több AI‑modell és hagyományos eszköz különböző hibákat talál; egyetlen eszközre hagyatkozni vakfoltokhoz vezet. A visszatérő hibák megelőzése növeli az AI‑korszakban elérhető védelem értékét: jó gyakorlatok például az engedélyezett komponensek listája, biztonságos alapértékek, korlátok a kódoló ügynökök számára, és automatizált ellenőrzések a szállítási csőben.
A javítások gazdasági és emberi erőforrás‑versenye miatt gyakran a legjobb megoldás a rendszer kivonása vagy lecserélése: azok a rendszerek, amelyek üzleti értéke nem éri el a javítás költségét, tervezett és finanszírozott kivonást igényelnek.
Gyakorlati bevezetési javaslatok: 90 napos keret és egy év ellenőrzés
A szerzők azt javasolják, hogy egy új programot szakaszosan vezessenek be: kezdve egy korlátozott, kritikus rendszerekre fókuszáló körrel. Az első 90 nap célja működő program és bizonyíték létrehozása a továbblépéshez:
- Az első hónapban definiálják a hatáskört, a jogosultságot, kiválasztják a kritikus rendszereket, kiépítik a kezdeti technológiai és kormányzati alapokat.
- A második hónapban a megvalósításé a hangsúly: automatizálás, priorizálás, izolálás és a javítások operatív folyamatainak kialakítása.
- A harmadik hónapban a vezetők mérik a hatást, kezelik a továbbra is fennálló kockázatokat és tervezik a skálázást.
- Egy év után az igazgatóságnak ellenőriznie kell, hogy a javulás elterjedt‑e és tartós‑e, különös tekintettel a kockázati toleranciára és az erőforrás‑allokációra.
Következtetés
A frontier AI növeli a szoftverbiztonság tétjét: egyszerre nőtt a sebezhetőség‑felfedezés volumene és a kihasználás sebessége, miközben az AI eszközök védelmi oldalra is hozhatnak megoldásokat. A sikerhez átfogó, több területre kiterjedő átalakítás szükséges: a cyber gyakorlatok, az üzemeltetési modell, a kockázat‑ és kontrollkeret és a technológia összehangolt fejlesztése. Azok a vállalatok, amelyek képesek erre a transzformációra, kevesebb visszatérő hibával, alacsonyabb kitettséggel és megbízható helyreállítási képességgel rendelkezhetnek — ez hosszú távon versenyelőnyt jelenthet, miközben a hibák és a kockázatok soha nem voltak ilyen intenzíven felfedezhetők és weaponizálhatók.
Charlie Lewis a McKinsey connecticuti irodájának partnere, Florian Niedermann a stuttgarti irodában senior partner, Giulio Romanelli a milánói irodában senior partner, Martin Harrysson a Bay Area irodában senior partner, Sven Blumberg a düsseldorfi irodában senior partner, Larry Villella a londoni irodában digitális bizalom vezetője, és Wolfram Salmanian a müncheni irodában senior szakértő.
A cikket Daniel Eisenberg, a New York irodai végrehajtó szerkesztője szerkesztette.
