Microsoft использует ИИ, чтобы устранять больше уязвимостей Windows на фоне отставания с установкой исправлений

5 ноября 2026 года Microsoft сообщила в обновлении о работе с уязвимостями Windows, что октябрьский выпуск обновлений безопасности 2026 года устранил более 1 100 уязвимостей Windows. При этом данные по корпоративным устройствам за август показали, что спустя несколько недель после выпуска многие из них всё ещё не получили обновления.

Публикация за авторством Нуно Косты, директора по работе с партнёрами в области обслуживания и поставки Windows, продолжает работу, о которой Microsoft рассказала в предыдущем сообщении от 9 июля 2026 года. В том сообщении уже описывались MDASH, разработка и проверка исправлений с помощью ИИ. Поэтому новая публикация представляет собой отчёт о достигнутом прогрессе: в ней приводятся данные об устранении уязвимостей в октябре и свежие показатели развёртывания обновлений.

ИИ на этапах выявления, устранения и проверки уязвимостей

Сообщения об уязвимостях поступают в Microsoft от внешних исследователей и партнёров, а также от собственных инженерных команд и специалистов по безопасности компании. Центральным звеном для приёма таких сообщений, публикации обновлений и координации ответных действий служит Microsoft Security Response Center. MDASH — сканер кода с агентной архитектурой — использует несколько моделей ИИ и специализированных агентов, чтобы выявлять и проверять потенциальные уязвимости. Затем результаты рассматривают специалисты по безопасности и инженеры, которые решают, как на них реагировать.

В предварительной документации по Codename MDASH Microsoft описывает конвейер из четырёх этапов: сначала файлы ранжируются с помощью анализа графа вызовов и метрик сложности кода, затем приоритетный код сканируют более 100 специализированных агентов и несколько языковых моделей. При проверке используются анализ распространения недоверенных данных, разрешение типов и обсуждение результатов несколькими моделями, чтобы уточнить степень уверенности и исключить ложные срабатывания; после этого дублирующиеся находки объединяются. Сканер также присваивает оценку уверенности и может создавать исправления кода с помощью Defender CLI.

Помощь в устранении уязвимостей включает оценку последствий, определение затронутых версий Windows и связанных вариантов кода, анализ возможных исправлений, планирование переноса исправлений в предыдущие версии, а также создание тестов безопасности и регрессионных тестов. Инженеры по-прежнему отвечают за проверку этой работы, принятие решений и конечный результат. Проверка перед выпуском включает внутреннее поэтапное тестирование, функциональные испытания и проверку концепции безопасности, тестирование совместимости приложений, а также внешнюю проверку с участием партнёров по аппаратному обеспечению, поставщиков решений в области безопасности и программного обеспечения и клиентов. ИИ также помогает выбирать и создавать тесты, распределять их по приоритету, анализировать результаты и готовить отчёты.

Дополнительную проверку можно провести с помощью необязательных предварительных обновлений, не связанных с безопасностью: организации могут установить их на выбранные устройства, прежде чем содержащиеся в них изменения войдут в обновление безопасности следующего месяца.

Больше исправлений и ускорение разработки эксплойтов

По мнению Microsoft, октябрьский показатель объясняется тем, что было изучено больше кода и устранено больше уязвимостей, а не снижением уровня безопасности Windows. Компания публикует сведения о степени серьёзности уязвимостей, их последствиях и возможности эксплуатации в Security Update Guide, а также машиночитаемые рекомендации Common Security Advisory Framework, документы Vulnerability Exploitability eXchange и API для систем управления уязвимостями и соответствием требованиям. Поскольку обновления безопасности Windows являются накопительными, приоритеты должны определять, какие устройства обновлять в первую очередь, начиная с систем, доступных из интернета, инфраструктуры идентификации и наиболее ценных ресурсов, а не то, какие отдельные исправления устанавливать.

Срочность обусловлена тем, что происходит после публикации. Выпущенное исправление может раскрыть сведения о лежащей в его основе уязвимости и дать злоумышленникам материал для разработки эксплойта. В исследовании, опубликованном 8 июня 2026 года, Anthropic сообщила, что Claude Mythos Preview создала аварийные сценарии для проверки концепции для 18 из 21 проверенного исправления ядра Windows и восемь полноценных цепочек атак, позволявших повысить привилегии пользователя с низким уровнем доступа до уровня SYSTEM. Все 18 аварийных сценариев были получены в течение шести часов, хотя для превращения таких эксплойтов в реальную кампанию потребовалась бы дополнительная работа.

Разрыв в развёртывании обновлений в корпоративной среде

Согласно диагностическим данным Microsoft за август 2026 года, в изученной выборке корпоративных устройств с Windows менее половины устройств получили обновление безопасности в течение двух недель, а примерно одно из четырёх оставалось без него и через четыре недели. Эти показатели показывают, что скорость развёртывания обновлений — часть риска, возникающего с каждым выпуском, а не отдельная административная задача.

Microsoft рекомендует использовать поддерживаемые версии Windows, своевременно устанавливать обновления, применять базовые настройки безопасности, средства обнаружения угроз на конечных устройствах, доступные меры снижения риска, а также процедуры реагирования и восстановления. Windows Autopatch обеспечивает поэтапное развёртывание обновлений и формирование отчётов через Intune, а установка исправлений без перезагрузки на подходящих устройствах с Windows 11 и Windows Server 2025 позволяет реже перезапускать системы. После выпуска автоматизированные системы помогают сопоставлять сигналы диагностики, развёртывания, поддержки и обратной связи; инженеры могут ответить на них, обновив рекомендации, предложив обходное решение, применив Known Issue Rollback или выпустив внеплановое обновление.

Главное противоречие заключается в том, что ИИ позволяет увеличить объём защитной работы, одновременно сокращая время, отведённое на развёртывание обновлений. Октябрьский показатель отражает число устранённых уязвимостей, тогда как августовские данные показывают, насколько быстро защита действительно достигла устройств. Обновление Microsoft показывает: наиболее наглядная проверка того, приводят ли более быстрое выявление и устранение уязвимостей к снижению риска, — это промежуток между публикацией исправления и его установкой.