Microsoft zet AI in om meer Windows-kwetsbaarheden te verhelpen terwijl patches achterblijven

Microsoft meldde op 5 november 2026 in een update over het beheer van Windows-kwetsbaarheden dat de beveiligingsupdate van oktober 2026 meer dan 1.100 Windows-kwetsbaarheden verhielp. Uit bedrijfsgegevens van augustus bleek echter dat veel apparaten weken na het verschijnen van de update nog niet waren bijgewerkt.

Het bericht van Nuno Costa, partnerdirecteur voor Windows-onderhoud en -levering, bouwt voort op werk dat Microsoft uiteenzette in een eerdere mededeling van 9 juli 2026. Daarin beschreef Microsoft al MDASH, AI-ondersteunde ontwikkeling en validatie van oplossingen. De nieuwe bekendmaking is dan ook een voortgangsrapport, met het aantal oplossingen dat in oktober is uitgebracht en nieuwe metingen van de uitrol.

AI bij opsporing, herstel en validatie

Meldingen van kwetsbaarheden bereiken Microsoft via externe onderzoekers, partners en de eigen engineering- en beveiligingsteams. Het Microsoft Security Response Center fungeert als centraal punt voor meldingen, updates en gecoördineerde respons. MDASH, een agentische codescanner, gebruikt meerdere AI-modellen en gespecialiseerde agents om mogelijke kwetsbaarheden op te sporen en te valideren. Daarna beoordelen beveiligings- en engineeringteams de bevindingen en bepalen ze hoe ze erop reageren.

De previewdocumentatie voor Codename MDASH van Microsoft beschrijft een pijplijn met vier fasen. Eerst rangschikt die bestanden aan de hand van aanroepgrafiekanalyses en maatstaven voor codecomplexiteit. Vervolgens scant de pijplijn de geprioriteerde code met meer dan 100 gespecialiseerde agents en meerdere taalmodellen. Bij de validatie worden taintanalyse, typebepaling en overleg tussen meerdere modellen ingezet om de zekerheid te verfijnen en foutpositieven uit te sluiten. Daarna worden dubbele bevindingen samengevoegd. De scanner kent ook betrouwbaarheidsscores toe en kan via de Defender CLI codeoplossingen genereren.

De ondersteuning bij het verhelpen van kwetsbaarheden omvat ook het beoordelen van de impact, het vaststellen van welke Windows-versies en verwante codevarianten zijn getroffen, het evalueren van mogelijke oplossingen, het plannen van backports en het ontwikkelen van beveiligings- en regressietests. Engineers blijven verantwoordelijk voor het beoordelen van het werk, het nemen van beslissingen en het eindresultaat. Bij de validatie van releases horen daarnaast interne testuitrol, functionele tests en proof-of-concepttests voor beveiliging, compatibiliteitstests voor toepassingen en externe validatie met hardwarepartners, beveiligingsleveranciers, softwareleveranciers en klanten. AI ondersteunt ook bij de selectie en ontwikkeling van tests, de triage, de analyse en de rapportage.

Optionele preview-updates die geen beveiligingsupdates zijn, bieden een extra controlemogelijkheid: organisaties kunnen ze op geselecteerde apparaten installeren voordat de inhoud ervan deel gaat uitmaken van de beveiligingsupdate van de volgende maand.

Meer oplossingen en snellere ontwikkeling van exploits

Volgens Microsoft weerspiegelt het totaal van oktober dat meer code is onderzocht en meer kwetsbaarheden zijn verholpen, en niet dat de beveiliging van Windows is verslechterd. Het bedrijf publiceert informatie over ernst, impact en misbruikbaarheid in zijn Security Update Guide, samen met machineleesbare adviezen volgens het Common Security Advisory Framework, documenten in het Vulnerability Exploitability eXchange-formaat en een API voor systemen voor kwetsbaarheidsbeheer en compliance. Omdat Windows-beveiligingsupdates cumulatief zijn, moet de prioritering bepalen welke apparaten als eerste worden bijgewerkt—te beginnen met systemen die met internet zijn verbonden, identiteitsinfrastructuur en bedrijfsmiddelen met een hoge waarde—en niet welke afzonderlijke oplossingen worden geïnstalleerd.

De urgentie komt voort uit wat er gebeurt nadat informatie is gepubliceerd. Een uitgebrachte oplossing kan informatie over de onderliggende kwetsbaarheid prijsgeven en aanvallers zo materiaal aanreiken om exploits te ontwikkelen. In onderzoek dat op 8 juni 2026 werd gepubliceerd, meldde Anthropic dat Claude Mythos Preview voor 18 van de 21 geteste patches voor de Windows-kernel proof-of-conceptcrashes genereerde, evenals acht volledige aanvalsketens waarmee een gebruiker met lage privileges SYSTEM-beheerrechten verkreeg. Alle 18 crashes werden binnen zes uur gegenereerd, al is er meer werk nodig om zulke exploits om te zetten in een daadwerkelijke aanvalscampagne.

De achterstand bij uitrol binnen bedrijven

Uit diagnostische gegevens van Microsoft over augustus 2026 bleek dat in een gemeten steekproef van Windows-apparaten binnen bedrijven minder dan de helft de beveiligingsupdate na twee weken had geïnstalleerd. Na vier weken had ongeveer één op de vier apparaten de update nog steeds niet. Die cijfers maken de snelheid van uitrol onderdeel van de blootstelling die elke release met zich meebrengt, in plaats van een losstaand beheervraagstuk.

Microsoft adviseert ondersteunde Windows-versies te gebruiken, updates snel te installeren, beveiligingsbasislijnen toe te passen, eindpunten te detecteren, beschikbare risicobeperkende maatregelen te benutten en procedures voor respons en herstel te volgen. Windows Autopatch biedt gefaseerde uitrol en rapportage via Intune, terwijl hotpatching op daarvoor in aanmerking komende systemen met Windows 11 en Windows Server 2025 het aantal herstarts kan verminderen. Na een release helpen geautomatiseerde systemen diagnostische gegevens, uitrolsignalen, ondersteuningssignalen en feedback met elkaar in verband te brengen. Engineers kunnen daarop reageren met bijgewerkte richtlijnen, een tijdelijke oplossing, Known Issue Rollback of een update buiten de reguliere cyclus.

De kern van het spanningsveld is dat AI de defensieve productie kan verhogen, maar tegelijk de tijd verkort die beschikbaar is om updates uit te rollen. Het cijfer van oktober geeft aan hoeveel kwetsbaarheden zijn verholpen, terwijl de gegevens van augustus laten zien hoe snel de bescherming apparaten daadwerkelijk bereikte. De tijd tussen publicatie en installatie is volgens de update van Microsoft de duidelijkste maatstaf voor de vraag of snellere opsporing en oplossing ook daadwerkelijk tot minder blootstelling leiden.