Ny forskning visar att AI har komprimerat den genomsnittliga tiden från att en sårbarhet offentliggörs till att ett fungerande angrepp finns tillgängligt, från 125 dagar i januari 2025 till bara 0,5 dagar i april 2026. Det innebär att det traditionella "patchfönstret" i praktiken har försvunnit för en stor andel kritiska sårbarheter.

Rapporten "The Detection Gap" från Cogent Research analyserade 69 159 CVE:er och fann att 62 procent av kritiska sårbarheter utnyttjas innan vanliga sårbarhetsscanners hinner detektera dem. Samtidigt har antalet höga och kritiska sårbarheter (CVSS 7 till 10) dubblats, från 4 268 under Q2 2025 till 8 539 under Q2 2026.

Vad driver förändringen?

AI-modeller kan nu självständigt identifiera och reproducera exploiterbara sårbarheter i produktionsmiljöer. Arbete som tidigare tog erfarna säkerhetsforskare ungefär 60 dagar tar nu cirka fyra timmar. Angripare med tillgång till samma verktyg kan skala upp sitt arbete dramatiskt och rikta in sig på fler mål parallellt.

Det skapar ett asymmetriskt problem: försvaret är fortfarande beroende av mänskliga godkännandeprocesser, patchtidsgränser och äldre system, medan angriparna kan agera i maskinhastighet.

Vad innebär detta i praktiken?

Den gamla modellen, att vänta på månadsvis patchcykel eller prioritera baserat på CVSS-poäng, håller inte längre. Organisationer behöver ändra sin patchstrategi:

• Prioritera exponering, inte bara allvarlighetsgrad. En sårbarhet med internet-exponerad attackyta är akut oavsett CVSS-poäng.
• Automatisera patchdistribution för kritiska system så att godkännandeprocessen inte är flaskhalsen.
• Komplettera med detektion. Eftersom scanning inte längre hinner före exploateringen krävs beteendebaserad detektion som kan fånga aktiva angrepp.
• Minska attackytan. Stäng av tjänster och portar som inte behövs, så att automatiserade verktyg som QScan har färre mål att välja på.

Mer information finns på Cogent Research och SecurityWeek.