AI i luki bezpieczeństwa to coraz groźniejsze połączenie: automatyczne narzędzia potrafią znaleźć i zacząć sondować podatność w kilka minut od chwili, gdy ktoś publicznie wspomni o błędzie. 28 sierpnia 2026 Simon Willison opisał to zjawisko, powołując się na obserwacje Anila Madhavapeddy'ego, profesora informatyki z Cambridge i opiekuna kompilatora OCaml.
Madhavapeddy zauważył, że po udostępnieniu łatki jego strona już po około dziesięciu minutach zaczęła odbierać zautomatyzowane próby ataku wykorzystujące kodowane sekwencje przejścia po katalogach. To sygnał, że publiczne repozytoria są na bieżąco monitorowane przez boty. Podobny wzorzec widać w projekcie rclone: jego opiekun Nick Craig-Wood odnotował ponad 40 zgłoszeń podatności w ciągu miesiąca, wobec około 20 przez poprzednie dziesięć lat, przy 75-procentowej trafności. Efekt uboczny jest odczuwalny w całym łańcuchu: przydział numerów CVE wydłużył się z dwóch–trzech dni do trzech–czterech tygodni.
Dla firm w Polsce płynie z tego jasny wniosek: okno między ujawnieniem luki a jej wykorzystaniem skróciło się z dni do minut. Zwlekanie z aktualizacją oprogramowania przestaje być drobnym zaniedbaniem, a staje się realnym ryzykiem. Warto skrócić cykl instalowania łatek, ograniczyć publiczne omawianie szczegółów niezałatanych błędów i objąć krytyczne systemy stałym monitoringiem. Ten sam mechanizm, który pomaga atakującym, może jednak służyć obrońcom do wcześniejszego wykrywania podatności we własnym kodzie. Dlatego zamiast blokować narzędzia AI, lepiej włączyć je do procesu bezpieczeństwa pod nadzorem zespołu. Świadomość, że AI działa dziś po obu stronach, to podstawa cyfrowej higieny.
Źródło: Simon Willison — Just a rumour of a bug is enough (EN, 28 sierpnia 2026), na podstawie relacji Anila Madhavapeddy'ego (anil.recoil.org).
