Сард 10,000 гаруй цоорхой: AI-ийн илрүүлсэн эмзэг байдлын 50% нь RCE үүсгэж буйг Google анхаарууллаа

Хиймэл оюун ухаан программ хангамж хөгжүүлэлтийн хурдыг эрс нэмэгдүүлж буйн сацуу кибер аюулгүй байдлын тэнцвэрийг ч сууриар нь өөрчилж эхэллээ. Google-ийн кибер аюулгүй байдлын судалгааны нэгж болох Google Threat Intelligence Group (GTIG) 2025 оноос 2026 оны наймдугаар сар хүртэлх цоорхой илрүүлэлт болон бодит халдлагуудын өгөгдөлд хийсэн томоохон тайлангаа танилцууллаа.

Тус тайлангаас үзэхэд программ хангамжийн цоорхой (CVE) илрүүлэлт болон түүнийг ашиглан хийсэн халдлагын хэмжээ 2026 онд урьд хожид байгаагүй хурдаар өссөн бөгөөд үүнд автоматжуулсан AI агентууд шууд нөлөөлж байна.

1. Сард 10,700 гаруй CVE: Цоорхой илрүүлэлт хоёр дахин өсөв

GTIG-ийн дата шинжилгээгээр 2026 оны нэгдүгээр сард дэлхий даяар нийт 5,045 эмзэг байдал бүртгэгдэж байсан бол долоодугаар сард 10,477 болж, наймдугаар сард 10,740 болж бараг хоёр дахин өсжээ.

Эдгээр түүхий тоонд нээлттэй эхийн экосистем дэх автомат CVE дугаарлалтын нөлөө (тухайлбал зөвхөн Linux Kernel-тэй холбоотой 5,000 гаруй бүртгэл) байгаа хэдий ч GTIG-ийн өөрийн үнэлгээгээр "Өндөр эрсдэлтэй" ангилалд багтах цоорхойнууд найман сарын дотор 167%-иар өссөн байна.

Хамгийн түгшүүртэй нь, бодит орчинд (in-the-wild) ашиглагдсан цоорхойн тоо сард дунджаар 10.5 байснаас 18 болж огцом өсжээ. 2026 оны эхний найман сард гэхэд халдагчид 141 бие даасан цоорхойг бодит системүүд рүү дайрахад ашигласан нь 2025 оны бүтэн жилийн үзүүлэлтийг (127) аль хэдийн давсан байна.

2. AI-ийн илрүүлсэн эмзэг байдлын 50% нь RCE үүсгэж байна

Уламжлалт статик шинжилгээний хэрэгслүүд (SAST) эсвэл ердийн fuzzer-үүд ихэвчлэн энгийн санах ойн алдаа, input validation зэрэг доод түвшний цоорхойнуудыг олдог. Харин том хэлний загвар (LLM) ба бие даасан AI агентууд системийн бүтэц, бизнес логик, эрхийн хязгаарлалтыг ойлгох чадвартай болсноор тэдний олж илрүүлж буй алдаанууд хамаагүй ноцтой үр дагавартай байдаг нь батлагдлаа.

GTIG-ийн онцолсноор:

AI-ийн тусламжтайгаар олдсон нийт цоорхойнуудын 50% нь Remote Code Execution (RCE) буюу сервер дээр дурын код алсаас ажиллуулах ноцтой эрсдэлтэй байна. Уламжлалт нийт CVE-үүдэд энэ үзүүлэлт 26%-тай байдаг.
AI агентуудын илрүүлсэн цоорхойнуудын 58% нь дунд болон түүнээс дээш түвшний өндөр хор хохирол учруулах ангилалд багтжээ.

Судлаачид AI агентуудыг зүгээр нэг ерөнхий кодын сангууд руу биш, харин чухал дэд бүтэц, хандалтын хяналтын цэгүүд, API gateway зэрэг гол модулиуд руу чиглүүлэн аудитад оруулж байгаа нь ийм өндөр үр дүнд хүргэж байна.

3. Zero-day биш: N-day цоорхойг зэвсэг болгох хугацаа агшив

Олон нийтийн дунд халдагчид AI ашиглан цоо шинэ "Zero-day" цоорхойнуудыг олноор олно гэсэн айдас байсан. Гэвч GTIG-ийн судалгаа бодит аюул огт өөр чиглэлд явагдаж байгааг харууллаа. Zero-day халдлагын сарын дундаж 8-аас 11 болж бага зэрэг л өссөн байна.

Үүний оронд халдагчид аль хэдийн нээлттэй болсон болон засвар (patch) нь гарсан цоорхойнуудыг буюу N-day эмзэг байдлыг зэвсэг болгох (weaponization) тал дээр AI-ийг маш өндөр үр дүнтэй ашиглаж байна. Халдагчид LLM ашиглан:

Нээлттэй эхийн эсвэл вендорын гаргасан commit-уудын ялгааг (Patch Diffing) секундийн дотор шинжлэх,
Зассан кодын логикоос анхны цоорхойг урвуу инженерчлэлээр гаргах,
Хэдхэн минутын дотор ажиллах чадвартай Proof-of-Concept (PoC) код үүсгэх ажлыг бүрэн автоматжуулжээ.

Үүний тод жишээ нь BeyondTrust платформоос AI-ийн бүрэн автоматаар илрүүлсэн CVE-2026-1731 цоорхой бөгөөд нээлттэй зарлагдсанаас хойш ердөө 4 хоногийн дотор халдагчид бодит дайралт хийж эхэлсэн байна.

4. Хөгжүүлэгчид болон DevSecOps багуудын хувьд энэ нь юу гэсэн үг вэ?

Энэхүү шинэ бодит байдал нь бидний өдөр тутмын хөгжүүлэлт, системийн хамгаалалтын практикт дараах өөрчлөлтүүдийг шаардаж байна:

"Patch гарсны дараа засварлана" гэсэн бодол үеэ өнгөрөөв:
Урьд нь patch гарснаас хойш системээ шинэчлэх хэдэн долоо хоногийн "тайван үе" байдаг байсан бол одоо patch нийтлэгдэх мөчид AI агентууд түүнийг задалж, эксплойт бэлэн болгож байна. Тиймээс хамаарлууд (dependencies) болон framework-уудыг автоматаар шинэчлэх автомат пайплайн нэн чухал боллоо.
CVE бүрийн хойноос хөөцөлдөх боломжгүй:
Сард 10,000 цоорхой гарч буй үед бүгдийг нь нэгэн зэрэг шийдэх боломжгүй. DevSecOps багууд энгийн CVSS оноо харахаас илүү бодит өгөгдөлд суурилсан, exploitability (бодитоор ашиглагдах боломж) болон өөрсдийн системийн critical түвшингээр triage хийх шинэ модельд шилжих шаардлагатай.
AI агентын код шалгах үйл явц дахь аюулгүй байдал:
Хөгжүүлэгчид өөрсдийн IDE, CI/CD орчинд AI агент ашиглаж байгаа үед үүсгэсэн кодонд RCE үүсгэх логик алдаа, нууц түлхүүрийн алдагдал байгаа эсэхийг автомат сандбокс болон runtime хамгаалалтын орчинд давхар шалгах нь стандарт практик болох ёстой.

Дүгнэлт

Хиймэл оюун ухаан цоорхойг илрүүлэгч хамгаалагчдын хувьд хүчирхэг туслах болж байгаа ч нөгөө талд халдагчдын хувьд хамгаалалтыг задлах хурдыг асар хурдасгаж байна. Программ хангамж бүтээгчид бид одоо зөвхөн "код ажиллаж байна уу" гэдгийг төдийгүй, автоматжуулсан халдлагын эсрэг "хэр хурдан хариу үйлдэл үзүүлж чадах вэ" гэдгээ хэмжих цаг болжээ.

Эх сурвалж: Google Threat Intelligence Group (GTIG) - Google Cloud Blog