AI mění otevřený zdroj zabezpečení. Zodpovědnost za životní cyklus softwaru se musí změnit s ním.

Když Drupal zveřejnil CVE-2026-9082 v květnu, byly hlášeny pokusy o využití zranitelnosti do 48 hodin. To zkracující se okno mezi zveřejněním a využitím zranitelnosti ilustruje novou realitu, se kterou se organizace, které spoléhají na otevřený zdroj softwaru, musí potýkat. Mají méně času než kdykoli předtím, aby vyhodnotily riziko a reagovaly, než jsou zranitelnosti aktivně cíleny.

AI urychluje tuto změnu dramaticky zvyšováním rychlosti a rozsahu objevování zranitelností. Jak se objevování zranitelností urychluje, je výzvou pro podniky již nejen identifikovat zranitelnosti, ale zajistit, aby software, na kterém závisí, zůstal zabezpečený, podporovatelný a odolný po celou dobu svého životního cyklu.

AI urychluje hrozby rychleji, než podniky mohou reagovat

Nástroje poháněné umělou inteligencí urychluje objevování zranitelností a snižují bariéru pro vývoj exploitů, což snižuje čas, který mají organizace k vyhodnocení rizika a reakci. Aktualizované průmyslové projekce z FIRST nyní odhadují, že téměř 66 000 CVE bude zveřejněno v roce 2026, což je 11% navýšení od únorové prognózy, po zveřejnění, které bylo o 46 % vyšší než předpokládaný tempo do dubna.

FIRST správně uvádí, že exploatační riziko nerostlo stejným tempem jako surový objem, a že KEV a EPSS triáž mohou absorbovat nápor. Ale triáž a opravuje předpokládá, že oprava existuje. Pro software postavený na koncových rámcích, neexistuje, a celý model prioritizace se zhroutí přesně v okamžiku, kdy je to nejvíc důležité.

Zatímco bezpečnostní týmy nefungují na rychlosti strojů. Stále potřebují určit, které systémy jsou postiženy, vyhodnotit obchodní riziko, otestovat opravy a nasadit aktualizace bez narušení provozu. Pro organizace, které spoléhají na otevřený zdroj softwaru, se tato výzva stává ještě větší, když podnikově kritické komponenty dosáhly konce svého životního cyklu a již neobdrží bezpečnostní opravy od svých původních správců.

Výsledkem je rostoucí mezera mezi identifikací zranitelností a skutečnou nápravou. Organizace potřebují více než přehled o zranitelnostech. Potřebují jistotu, že software, na kterém závisí, zůstane zabezpečený a podporovatelný po celou dobu svého životního cyklu.

Nepodporovaný software se stává rostoucím rizikem pro podniky

Mnohé organizace pokračují v provozu koncových verzí otevřených zdrojových rámců, jako je Drupal, Spring a AngularJS, protože nahrazení podnikově kritických aplikací je nákladné, narušuje provoz a často trvá roky.

Tato realita se stále více střetává s novými regulačními očekáváními. Rámcové směrnice, jako je EU Cyber Resilience Act, DORA, NIS2 a PCI DSS 4.0, klade větší důraz na údržbu softwaru, viditelnost dodavatelského řetězce a pokračující podporu softwaru, což činí nepodporovaný software rostoucím problémem dodržování předpisů a provozní záležitostí.

Protože modernizace často trvá roky, organizace potřebují strategii pro udržování zabezpečeného a podporovaného softwaru po celou dobu přechodu.

Organizace potřebují přehled o životním cyklu, ne pouze přehled o zranitelnostech

Většina organizací investovala značné prostředky do nástrojů, které jsou navrženy k identifikaci zranitelností napříč jejich prostředí. Tyto nástroje zodpovědí otázku, kde se zranitelnosti nacházejí. Neřeší však další otázku, která se stává stejně důležitou: Je tento software stále podporován?

Odpověď na tuto otázku vyžaduje, aby organizace hledaly za hranice správy zranitelností. Potřebují přehled o tom, zda jsou podnikově kritické otevřené zdrojové komponenty aktivně udržovány, zda se blíží konci svého životního cyklu nebo zda již neobdrží komunitní podporu, a strategii pro udržení těchto systémů zabezpečených, dokud nebude dokončena modernizace.

Vedoucí pracovníci by se měli soustředit na tři priority:

• Vězte, co vlastníte. Identifikujte nepodporovaný software, než vás k tomu donutí zranitelnosti, audity nebo incidenty, a pochopíte, na kterých podnikově kritických aplikacích závisí.
• Plánujte zabezpečenou modernizaci. Zahrňte plánování životního cyklu do strategií pro nákup, vývoj a modernizaci, s jasnými plány pro udržení softwaru zabezpečeného po celou dobu přechodu.
• Zacházejte se softwarovou podporovatelností jako s obchodním prioritou. Jak se softwarové ekosystémy stávají složitějšími, dlouhodobá podpora softwaru by měla být považována za strategickou obchodní schopnost a ne pouze za technickou záležitost.

AI mění, jak je software vyvíjen, jak jsou zranitelnosti objevovány a jak rychle se organizace očekávají, že reagují. Co se nezměnilo, je podniková odpovědnost za udržení softwaru, na kterém již závisí, zabezpečeného. Jakmile AI změní otevřený zdroj zabezpečení, úspěch bude záviset na tom, zda se zodpovědnost za životní cyklus softwaru bude považovat za základní bezpečnostní schopnost, a ne pouze za technickou záležitost.

Organizace, které uspějí, nemusí být nutně ty, které opraví nejrychleji. Budou to ty, které mohou s jistotou spravovat rizika softwaru po celou dobu jeho životního cyklu, udržovat podnikově kritické aplikace zabezpečené a funkční, zatímco se modernizují podle svých vlastních podmínek.