25 августа 2026 года в The Hacker News вышел материал о том, что управление уязвимостями вошло в новую фазу: frontier-модели ИИ уже не просто помогают аналитикам, а ускоряют поиск нулевых дней и сборку цепочек эксплуатации почти в машинном темпе. Для русскоязычных команд это плохая новость в понятной упаковке: если у компании до сих пор приоритизация держится на CVSS-табличке и ежемесячном окне патчей, такой процесс начинает стареть прямо на ходу.
Как пишет The Hacker News, проблему формулирует Кевин Гарви, сертифицированный инструктор SANS. Его тезис простой: историческая связка между командами vulnerability management и patch management больше не выдерживает прежнего ритма угроз. Раньше этим двум функциям хватало аккуратной координации, даже если отношения временами напоминали семейную терапию с тикетами и дедлайнами. Цель оставалась общей: найти уязвимость и подтвердить, что риск из среды убран. Теперь в уравнение входят frontier AI-модели, которые, по словам автора, способны выявлять zero-day-ошибки, собирать сложные exploit chains и адаптироваться в реальном времени. На этом фоне многие программы управления уязвимостями внезапно выясняют неприятное: к такому режиму они не готовы.
В статье прямо сказано, что у значительной части организаций такие программы и без того держались на честном слове: бэклог уязвимостей тянулся «на мили», а переход к модели CTEM, то есть Continuous Threat Exposure Management, оставался далеким планом из красивой презентации. Frontier AI здесь не создает проблему с нуля, а делает видимым старый структурный дефект. Пока компания спорит, какой CVSS считать критичным и можно ли дотянуть до следующего окна обновлений, атакующая сторона получает инструменты, которые сокращают путь от найденной слабости до рабочего эксплойта. Иными словами, разрыв между «мы знаем об уязвимости» и «мы реально снизили риск» становится слишком дорогим.
Отсюда главный практический вывод материала: одного CVSS уже недостаточно. Автор не отрицает полезность базовых индикаторов и отдельно подчеркивает, что EPSS и список CISA KEV фактически стали обязательным минимумом для приоритизации. Но именно минимумом, а не достаточным условием. Если уязвимости начинают превращаться в эксплуатируемые сценарии с машинной скоростью, компании приходится смотреть шире: что в ее среде реально достижимо, что связано с критичными бизнес-сервисами, где есть ошибки конфигурации, какая система доступна извне, какие сигналы дает threat intelligence. По сути, речь идет о смещении акцента с учета «сколько CVE висит открытыми» на вопрос «какие из них действительно ведут к бизнес-риску здесь и сейчас».
Именно поэтому автор делает ставку на exposure management как на надстройку над классическим VM-процессом. В его логике такая функция помогает собрать более честную картину риска по всей attack surface компании и расставлять приоритеты не по абстрактной тяжести, а по совокупности факторов: эксплуатируемость, достижимость, влияние на бизнес, сопутствующие мисконфиги, данные симуляций атак и автоматизированного пентеста. Звучит не как модный ребрендинг старого сканера, а как признание очевидного: в 2026 году список CVE без контекста плохо отвечает на вопрос, что надо чинить в первую очередь. Для разработчиков и платформенных команд это тоже меняет правила игры. Уязвимость больше нельзя обсуждать отдельно от архитектуры, внешней доступности сервиса, сегментации сети и устойчивости конкретного бизнес-процесса.
Вторая часть «революции», по версии материала, прилетает в patch management. Командам обновлений предлагают забыть комфортный ритм Patch Tuesday как основную ось процесса. Если скорость обнаружения и упаковки эксплойтов растет, то и цикл исправлений должен ускоряться. Гарви пишет о необходимости двигаться к автоматизированному поиску патчей, тестированию и развертыванию по ring-based-модели, когда обновление проходит через кольца среды и переводится дальше только после проверки стабильности на предыдущем этапе. Идея не новая, но в контексте frontier AI она перестает быть признаком инфраструктурной зрелости «для лучших» и становится более приземленной вещью: способом уменьшить окно, в котором известная слабость остается без компенсации.
При этом автор не делает вид, что ускоренный патчинг достается бесплатно. Исторически patch-команды отвечали не только за закрытие дыр, но и за то, чтобы бизнес не проснулся с лежащими сервисами. Чем выше скорость обновлений, тем сильнее трещит старый компромисс между безопасностью и доступностью. В статье прямо ставятся неприятные, но правильные вопросы: придется ли пересматривать требования к uptime, нужно ли больше инвестировать в resiliency, как должны меняться интеграции с BC/DR-командами. Для IT-директоров и продактов здесь, возможно, самый важный сигнал: проблема уже не сводится к работе безопасников. Если угроза живет в темпе машины, то и разговор о допустимом простое, резервировании, канареечных релизах и откате обновлений становится вопросом общей операционной модели компании, а не спором двух команд в Jira.
Отдельно полезно, что текст не обещает волшебной кнопки. Это партнерская колонка SANS, и в финале она закономерно приводит к курсу LDR516 с ближайшими потоками в SANS DC Metro с 28 сентября по 2 октября 2026 года и в SANS Dallas с 7 по 11 декабря 2026 года. Но за маркетинговой рамкой здесь есть трезвый диагноз: frontier AI не отменяет базовую гигиену, а лишает смысла медленные и изолированные процессы. Для российских и русскоязычных IT-команд вывод довольно прямой. Если управление уязвимостями по-прежнему измеряется количеством закрытых тикетов, а патч-менеджмент живет отдельной жизнью, это уже не просто организационная небрежность. Это лаг в скорости принятия решений, который атакующие, вооруженные ИИ, будут конвертировать в инциденты заметно быстрее, чем многие успеют собрать очередной ежемесячный отчет.
Главный вопрос теперь не в том, придет ли frontier AI в практику атак и защиты, а в том, какие компании успеют перестроить управление уязвимостями из учетной функции в непрерывный механизм снижения риска. Тем, кто продолжит жить по календарю патчей и по табличке с баллами, рынок, похоже, уже готов выписать ускоренный курс по современной эксплуатации уязвимостей.