През по-голямата част от историята на сигурността защитниците биваха спасявани от времето. Уязвимостта се разкриваше, доставяше се корекция за сигурност, а атакуващите прекарваха месеци или години в изграждането на надежден експлойт. Това забавяне беше буферът, върху който беше изграден целият модел на сканиране и отстраняване на уязвимости.

Този буфер вече го няма. Според Zero Day Clock средното време от откриване на уязвимост до оръжеен експлойт е спаднало от приблизително две години и половина през 2018 г. до броени часове през 2026 г. Водещите модели от ново поколение (frontier models) като Mythos са причината за това. Същата система, която открива недостатък в кода ви, може да напише работещ експлойт срещу него, като може да направи и двете със скоростта на машина.

Това създава два проблема едновременно, които дърпат в противоположни посоки.

Първият е непознатата атака. Водещ модел може да открие zero-day уязвимост във вашето приложение, вашите AI агенти, инструментите, които те извикват, или техните зависимости, без да има CVE и без налична корекция за сигурност, към която да се обърнете. Когато целта е агент, притежаващ API ключове, достъп до бази данни и възможност за изпълнение на код, разстоянието от откриването до пробива се затваря за секунди. Няма какво да се сканира, защото недостатъкът никога не е бил каталогизиран.

Вторият е наводнението от познати уязвимости. Същата способност, която открива нови недостатъци, генерира и хиляди доклади за уязвимости. Забавянията, които и без това бяха неуправляеми, сега преливат. Екипите инсталират корекции за сигурност по интуиция, а не според риска, и всеки час, прекаран в отстраняване на уязвимост, която никога не може да бъде достигната в производствена среда, е час, който не е прекаран за тази, която може да бъде достигната.

Забележете, че нито един от проблемите не може да бъде решен чрез разглеждане на код в покой. Скенерът не може да маркира zero-day уязвимост, която все още не съществува. Скенерът също така не може да ви каже дали известно CVE е действително достижимо във вашата работеща система, така че той маркира всичко и го нарича старание. Сляпото петно е едно и също и в двата случая: инструментите, които инспектират артефакти вместо поведение, нямат представа какво всъщност прави вашият софтуер, когато се изпълнява.

Ето защо единственият подход, който е устойчив в свят след Mythos, е базиран на изпълнението. Вместо да питате какво може да не е наред с кода, вие наблюдавате какво всъщност правят кодът и агентите в средата за изпълнение (runtime), в реално време. Всеки промпт, всяко извикване на инструмент, всяка API заявка, всяко извикване на библиотека, всеки засегнат ресурс.

Наблюдението на изпълнението решава непознатия проблем, без да е необходимо CVE. Наблюдението на изпълнението също така отводнява потопа от известни уязвимости. Първо, можете да блокирате нежеланото поведение по същия начин, по който блокирате zero-day атаки, което ви купува време до отстраняването им. След това, след като можете да видите кои функции всъщност се изпълняват и са достижими, можете да отделите уязвимостите, които са реално експлоатируеми във вашата среда, от хилядите, които съществуват само на хартия. Недостижимото CVE ви струваше много за управление, но с този подход то буквално не ви струва нищо. Достижимото получава вашето внимание. Приоритизирането спира да бъде просто предположение.

Предотвратяването в миналото означаваше да се държат лошите неща настрана, преди да се стартират. В свят, в който атаките се генерират при поискване, по-бързо от всяка човешка реакция, предотвратяването трябва да означава разпознаване и спиране на лошото поведение в момента на неговото възникване. Контролната точка се премества от периметъра и конвейера (pipeline) към средата за изпълнение.

Времевата линия няма да се върне назад. Единствената защита, която може да се движи със скоростта на водещ модел, е тази, която живее там, където в крайна сметка трябва да се изпълнят експлойтите на модела.