В момента, в който даден доставчик пусне корекция за сигурност, разликата (diff) между стария и новия код показва на всеки наблюдател точно какво е било счупено и къде. Превръщането на тази разлика обратно в работещ експлойт позволява да се атакува всяка система, която все още не е обновена. Това е N-day експлоатацията и тя винаги е била надпревара: доставчикът инсталира корекции, часовникът започва да тиктака, а защитниците се опитват да внедрят обновяването, преди атакуващият да е приключил с обратното инженерство на корекцията.

През последните тридесетина години защитниците обикновено печелеха тази надпревара.

Обратното инженерство на корекция за сигурност до надежден експлойт беше бавна и специализирана работа – обикновено изискваща седмици усилия от експертно ниво. Исторически погледнато, времето между пускането на корекция за сигурност и появата на работещ публичен експлойт обхващаше седмици, а често и месеци.

Традиционните стратегии предполагаха, че разполагате с поне няколко седмици. Вече нямате това време. Никъде близо до него.

Обратното инженерство на корекция за сигурност отнемаше седмици. Mythos го прави за един час.

Червеният екип на Anthropic измери точно това.

Разполагайки с нищо повече от публичната разлика в кода (diff) и две компилации, Claude Mythos Preview превърна 18 корекции за сигурност във Firefox в 8 работещи експлойта за изпълнение на код съвсем самостоятелно. Първият му експлойт беше готов за по-малко от час, след като Mozilla публикува корекцията за сигурност. Версията на Firefox, съдържаща тази корекция, беше на 18 дни разстояние от пускане.

Резултатите за Windows са още по-тревожни: без изходен код, само с премахнати символи от бинарните файлове (stripped binaries) и изход от декомпилатор. Въпреки това, от 21 буга в ядрото, той създаде концептуални доказателства (proof-of-concept) за срив на 18 от тях (най-бързият за 31 минути) и свърза 8 от тях във верига чак до SYSTEM привилегии, при цена от около 2000 долара за всяка.

Нещата стават и по-лоши: една от тези вериги за SYSTEM привилегии беше за уязвимост, която Microsoft беше маркирал като „Малко вероятна за експлоатация“, а тези оценки са калибрирани за човешки изследователи. Очевидно е, че това калибриране вече не е валидно.

Публичните модели на Claude с включени защитни механизми също изградиха експлойти, макар и по-малко на брой, така че това не е изолирана възможност зад един-единствен ограничен модел.

Защитниците могат да намерят малка утеха във факта, че превръщането на един експлойт в пълно проникване все още изисква допълнителна работа – доставка, таргетиране, избягване на детекция. Но стъпката, която преди осигуряваше седмици за защитниците – превръщането на корекция за сигурност в работещ експлойт – е точно тази, чиято времева рамка напълно се срина.

Както сам казва екипът на Anthropic: „N-hour е по-близо до реалността, в която вече оперираме.“

За съжаление, не можете да се спасите само с инсталиране на корекции за сигурност

Ето я асиметрията, която чупи старата стратегия: корекцията за сигурност, предназначена да ви защити, е същият артефакт, който въоръжава атакуващия.

Публикуването на корекцията дава на атакуващите пътна карта към уязвимостта, а всеки, който не е обновил, се превръща в мишена. Изследователите вече наричат тази преломна точка „Vulnpocalypse“ – моментът, в който модел може да превърна разкрита уязвимост в оръжие по-бързо, отколкото защитниците могат да внедрят корекцията.

Ето защо 1-day експлойтът днес не изглежда по нищо като това, което беше преди две години.

Първоначалната реакция за по-бързо отстраняване на уязвимости е губеща позиция. Числата го потвърждават:

Докладът 2026 DBIR на Verizon посочва, че медианното време за коригиране на известна експлоатирана уязвимост е 43 дни (спрямо 32 дни предходната година), като едва 26 процента от тях биват напълно коригирани. Дори тези с най-добри резултати отстраняват едва 30 до 40 процента от известните експлоатирани уязвимости през първата седмица.

Данните от Zero Day Clock показват, че през 2026 г. средното време за създаване на експлойт е под 24 часа, спрямо около 53 дни през 2024 г.

Корекциите за сигурност чакат за регресионно тестване, прозорци за промени и ангажименти за непрекъсната работа; спирането на производствена среда, за да изпреварите експлойт, е просто друг вид прекъсване. А с около 135 нови CVE на ден (ръст от около 40 процента спрямо миналата година), не е изненада, че вашите екипи никога няма да могат да изчистят изоставането. Днешните пробиви все по-често се случват именно в този времеви прозорец.

Затова въпросът вече не е „какво е уязвимо?“. Изоставане, в което всичко има оценка на риска 9.8, практически не приоритизира нищо. Въпросът, който трябва да си зададем вместо това, е: „Кои уязвимости може наистина да използва даден киберпрестъпник тук, биха ли ги спрели нашите контроли за сигурност и можем ли да го докажем?“

Валидацията не ви кара да инсталирате корекции по-бързо. Тя прави скоростта на инсталиране по-малко критична.

Доказвайте възможността за експлоатация, не я предполагайте

Доказването на това изисква три метода, тъй като нито един самостоятелен метод не покрива цялата среда.

Първо: стартирайте реален експлойт там, където е безопасно.

Верига от реални експлойти срещу достъпен ресурс е най-силното доказателство, и точно това прави автономното тестване за проникване. Но реален експлойт може да се детонира само там, където това е безопасно. Това изключва критични за бизнеса системи, ограничени мрежи и изолирани сегменти (air-gapped), които обикновено са най-важните активи. Това изключва и всяка уязвимост (CVE) без публичен, безопасен експлойт. А през първия ден има забавяне, преди да съществува какъвто и да е експлойт. В крайна сметка безопасно тестваемата част от вашата обща уязвима площ е нищожните 10 до 15 процента от средата ви.

Независимо колко инструмента за тестване за проникване притежавате, всички те в даден момент стигат до една и съща стена. Останалите 85 до 90 процента – критичните активи, до които нямате право да се докосвате, и заплахите, които все още никой не е превърнал в оръжие – са мястото, където всъщност се взема решението.

Второ: за тези 85 до 90 процента докажете защитата си спрямо вашите контроли за сигурност, вместо да детонирате експлойт.