Umělá inteligence nám pomáhá nacházet zranitelnosti rychleji než kdykoli předtím. Co se ale stane, když s tímto tempem nedokáže držet krok zbytek ekosystému pro správu zranitelností?
Když objem zranitelností předběhne systém
V dubnu vydal americký institut NIST prohlášení o změnách v provozu databáze NVD, které představuje nezbytnou reakci na rostoucí měřítko. Objem zveřejňovaných CVE narostl nad rámec toho, na co byl současný model obohacování dat navržen. Součástí změny bylo, že přibližně 30 000 zranitelností zveřejněných před 1. březnem 2026 bylo překlasifikováno jako „nezařazené“ (Not Scheduled). Prioritizace, automatizace a selektivní zpracování jsou v principu rozumné úpravy, v praxi však tento posun přináší řadu rizik, která nemusí být plně pochopena, zejména pro ty, kdo odpovídají za obranu podnikových prostředí.
Tlak není jen teoretický. Zpráva Action1 Software Vulnerability Ratings Report 2026 zjistila, že počet zveřejněných zranitelností napříč analyzovanými kategoriemi podnikového softwaru vzrostl v roce 2025 o 92 procent oproti roku 2024. Kritických a vysoce závažných zranitelností přibylo shodně o 103 procent, zatímco zranitelností umožňujících vzdálené spuštění kódu přibylo o 128 procent. Jádrem problému přitom není samotná existence nevyřízených položek, ta je při rychlém růstu očekávaná, nýbrž způsob, jakým se tento skluz řídí, a hlavně to, jaké signály vysílá rozhodnutí upřednostnit novější zranitelnosti před staršími, dosud nezpracovanými.
Co se stane, když obohacování dat zaostává
Zaměřením obohacování pouze na nedávné CVE systém implicitně odsouvá zranitelnosti, které už mohou být známé, potvrzené a v některých případech aktivně diskutované výrobci či výzkumníky, avšak postrádají úplný kontext z NVD. Vzniká tak informační asymetrie obzvláště obtížného druhu: částečná inteligence bez druhé poloviny, která by ji učinila snadno použitelnou. Bezpečnostní týmy silně závislé na NVD jako normalizovaném zdroji mohou pracovat s neúplnými nebo opožděnými daty. Útočníci naopak nemusí na standardizované obohacení čekat, než začnou propojovat výstrahy výrobců, bezpečnostní výzkum, vydané záplaty, informace o exploitech a veřejná zveřejnění.
Ten rozdíl je zásadní, protože obohacování dat není kosmetická záležitost. Strukturovaná metadata, informace o zasažených platformách, hodnocení závažnosti či konfigurační detaily umožňují obráncům určit, zda se jich daná zranitelnost skutečně týká a jak naléhavě ji řešit. Chybí-li tyto informace nebo přicházejí pozdě, jsou organizace nuceny buď vyčkávat na doplňující kontext, nebo se rozhodovat na základě roztříštěných dat. Ani jedno není ideální v prostředí, kde zneužití může postupovat rychleji než interní procesy ověřování a nápravy. Existuje i druhotný, hůře kvantifikovatelný efekt: průběžně doplňovaný, avšak selektivně vyprazdňovaný skluz vytváří nejistotu ohledně pokrytí. Bez jasného závazku zpracovat starší položky v definovaném čase se skluz stává polostálým stavem.
Jak by se měli obránci přizpůsobit
Nic z toho neznamená, že NIST jedná nezodpovědně. Problém měřítka je reálný a stávající model nebyl navržen pro dnešní objem informací. Zavedený kompromis však přenáší více odpovědnosti níže po řetězci. Organizace se budou muset méně spoléhat na jediný autoritativní zdroj a více na korelaci napříč vícero zdroji, včetně NVD, výstrah výrobců, nezávislých poskytovatelů zpravodajství o zranitelnostech, platforem threat intelligence a interních inventářů aktiv. Správa zranitelností se tak stává méně o konzumaci hotového seznamu a více o syntéze přesných informací z neúplných dat téměř v reálném čase.
První ponaučení zní, že správa zranitelností už nemůže záviset na jediném zdroji obohacování. Sběr dalších informačních zdrojů je ovšem jen částí odpovědi, protože více informací může vytvořit další problém s prioritizací. Skutečným cílem je proměnit roztříštěné zpravodajství o zranitelnostech v rozhodnutí: Týká se nás tato zranitelnost, jak je naléhavá a co s ní můžeme teď udělat? Právě tento model přijala společnost Action1, která místo výhradního spoléhání na obohacení z NVD kombinuje zpravodajství ze zdrojů jako VulnCheckNVD++, NIST NVD, katalog KEV od CISA, data MSRC od Microsoftu i poznámky k vydání od výrobců, a každou zranitelnost boduje podle dat CVE, závažnosti CVSS, statusu CISA KEV a známého využití v ransomwarových kampaních. Toto zpravodajství se koreluje s daty z koncových bodů v reálném čase, aby týmy zjistily, které zranitelnosti se skutečně týkají softwaru nasazeného v jejich prostředí, a mohly podle toho prioritizovat nápravu. Éru zranitelností v době AI nakonec nedefinuje to, jak rychle týmy chyby najdou, nýbrž to, jak rychle je dokážou pochopit, prioritizovat a záplatovat.
Zdroj: bleepingcomputer.com/Gene Moody, Field CTO ve společnosti Action1
