AI-driven sårbarhetssökning har exploderat under 2026 och hittar tusentals brister i mjukvara. Men kan det på sikt leda till säkrare program? En keynote på Black Hat USA 2026 gav hopp om en ljusare framtid.

Trycket på cybersäkerhetsteam har varit enormt i år. Microsofts månatliga säkerhetsuppdateringar har innehållit 169 CVE:er i april, 118 i maj, 571 i juni och 622 i juli, inklusive aktivt utnyttjade zero-days. USA:s regering har till och med skapat ett nationellt centrum kallat Gold Eagle för att koordinera sårbarhetsarbetet.

AI hittar hundratals brister

Yan Shoshitaishvili, docent vid Arizona State University, presenterade forskning om AI-modellers förmåga att hitta sårbarheter. Som utgångspunkt använde teamet en Washington Post-artikel som beskrev hur Anthropics Claude Mythos hade hittat 479 sårbarheter i Linux-kärnan.

Genom att integrera liknande arbetsflöden i GPT-modeller lyckades universitetsteamet hitta omkring 600 brister. När de sedan tränade modellerna på egenskaper från tidigare kända sårbarheter steg antalet till cirka 1 000.

Rapporteringen hinner inte med

Teamet stötte på ett oväntat problem: de hittade brister snabbare än de kunde rapportera dem. Ansvarsfull rapportering kräver detaljerad analys och föreslagna åtgärder, inte bara att peka ut problemet. Enligt forskarna var processen för ansvarsfull disclosure redan bristfällig och riskerar nu att helt överbelastas.

En ljusare framtid?

Shoshitaishvili målade upp ett optimistiskt scenario. Om AI kan genomsöka all befintlig mjukvara, inklusive 30 års legacy-kod, kan vi nå en punkt där de flesta gamla sårbarheter är upptäckta och åtgärdade.

Samtidigt kan utvecklingsteam använda samma AI-verktyg för att hitta och åtgärda brister innan lansering. I förlängningen kan det leda till nästan felfri mjukvara.

Vägen dit blir dock krävande. Säkerhetsteam som redan kämpar med att hinna patcha i tid riskerar att överbelastas av den ökade upptäcktstakten. Alternativet, att patcha utan ordentlig testning, skapar nya risker för kompatibilitetsproblem.