Vinduet mellom at en sårbarhet blir kjent og at den tas i bruk i angrep, krymper. Det er konsekvensen i driften av det Google bekreftet 11. mai – og det er spørsmålet IT-team må kunne svare på før neste angrep kommer. Googles Threat Intelligence Group publiserte funn som bekreftet det første kjente tilfellet av angrepskode for en nulldagssårbarhet som var utviklet med hjelp fra kunstig intelligens. En kriminell gruppe brukte en KI-modell til å generere et Python-skript som omgår tofaktorautentisering i et mye brukt webbasert administrasjonsverktøy med åpen kildekode. Google grep inn før en planlagt masseutnyttelse kunne gjennomføres. Angrepskoden ble med høy sikkerhet tilskrevet KI – en hallusinert CVSS-score, pedagogiske docstrings og en kodestruktur som er typisk for tekst fra store språkmodeller (LLM). SC Media siterte lederen for cybersikkerhetsstyring i Black Duck: «Dette signaliserer et skifte fra at sårbarheter oppdages i menneskelig tempo, til at de gjøres om til våpen i maskinell skala.» Det skiftet er ikke teoretisk. Det er allerede synlig i dataene.
Hva raskere utvikling av angrepskode faktisk betyr
Googles rapport er nøye med å avgrense: KI gjør eksisterende arbeidsflyter for å oppdage sårbarheter og utvikle angrepskode raskere – den skaper ikke helt nye angrepsteknikker. Trusselen er ikke at KI finner opp nye kategorier av angrep. Det er at KI fjerner flaskehalsen som spesialistkompetanse og tid har utgjort i utviklingen av angrepskode. Den praktiske konsekvensen er at tidslinjen presses sammen. Utvikling av angrepskode som tidligere krevde dager eller uker med spesialisert menneskelig arbeid, kan nå skje raskere, billigere og i større skala. Den offentlig dokumenterte økningen i hvor ofte ny angrepskode slippes de siste månedene, viser hvordan det ser ut før KI-assistanse blir utbredt. Med KI i arbeidsflyten presses tempoet ytterligere sammen.
Tredjepartsapplikasjonene
Angrepskoden Google bekreftet, retter seg mot et webbasert verktøy for systemadministrasjon – ikke mot operativsystemet Windows. Det skillet betyr noe i driften. De fleste endepunktmiljøer patcher operativsystemet Windows via etablerte mekanismer: Windows Update, WSUS og verktøy for OS-administrasjon. Tredjepartsapplikasjonene – webbaserte administrasjonsverktøy, nettlesere, dokumentvisere, kommunikasjonsplattformer, infrastrukturverktøy – følger et annet og ofte mindre automatisert tempo. Når utviklingen av angrepskode går raskere, blir applikasjonene med de lengste manuelle patchesyklusene de mest utsatte målene. Et KI-generert angrep mot et webbasert administrasjonsverktøy er nettopp den kategorien der manuelle patcheprosesser gir det største eksponeringsvinduet.
Spørsmålet om oversikt over endepunktene
Når en nulldagssårbarhet er bekreftet utnyttet i praksis, må to ting skje raskt: Du må finne ut hvilke endepunkter i IT-miljøet som er eksponert, og du må lukke eksponeringen. Hvor raskt begge deler går, avhenger av hvor god oversikt du har over endepunktene før hendelsen – ikke av evnen din til å reagere etterpå. Virksomheter uten sanntidsoversikt over endepunktene har en strukturell ulempe når tidslinjen for angrep presses sammen. Spørsmålet er ikke om de kan patche – det er om de kan se hva som må patches, i hele IT-miljøet, før vinduet lukkes.
Oversikt er ikke det samme som patching
Det er verdt å si helt eksplisitt, fordi de to ofte blandes sammen. Patching lukker en sårbarhet. Oversikt forteller deg hvilke endepunkter som trenger patchen – og hvilke som ennå ikke har fått den, selv om utrullingen er i gang. Når patchevinduet krymper, blir oversiktsgapet – tiden fra en patch rulles ut til IT-teamet kan bekrefte hvilke endepunkter som faktisk har installert den – kritisk i driften. Nettleseroppdateringer viser gapet tydeligst: CVE-2026-7896 kunne fortsatt utnyttes på hvert endepunkt der Chrome eller Edge ikke var startet på nytt etter at oppdateringen kom. Det er i det gapet eksponeringen vedvarer, og det er der KI-akselerert utnyttelse finner sin mulighet.
Her passer CapaOne inn
CapaOne erstatter ikke mekanismen du bruker til å patche operativsystemet – Microsoft distribuerer Windows-patcher via Windows Update, WSUS, Intune og Autopatch. CapaOnes rolle er oversikten over sårbarheter på endepunktene og kontrollen med tredjepartsapplikasjonene, som avgjør hvor raskt teamet ditt kan handle når en ny trussel dukker opp – og plattformen fungerer like godt med eller uten Intune.
Security Monitor: Sanntidsoversikt over endepunktene
Security Monitor viser CVE-eksponering, konfigurasjonsavvik og patchstatus for alle endepunktene i sanntid – uavhengig av Microsoft Defender. Når en nulldagssårbarhet er bekreftet, svarer Security Monitor på spørsmålet i driften: Hvilke endepunkter er eksponert nå, og hvilke har fått den aktuelle patchen? Svaret kommer som dokumentert status per enhet – ikke som en indikator på hvor langt utrullingen har kommet. Når tidslinjen for angrep presses sammen, er forskjellen mellom å vite at en patch er rullet ut og å vite hvilke konkrete endepunkter som har installert den, forskjellen mellom å handle på grunnlag av fakta og å handle på grunnlag av antakelser.
Application Manager: Automatisk tredjepartspatching
Når utviklingen av angrepskode går raskere, blir manuelle patchekøer en belastning. Hastigheten i tredjepartspatchingen blir et sikkerhetstiltak, ikke en praktisk bekvemmelighet – og applikasjonene med de lengste manuelle patchesyklusene blir de mest utsatte målene. Application Manager automatiserer oppdateringer av tredjepartsapplikasjoner i hele IT-miljøet – også webbaserte administrasjonsverktøy, infrastrukturverktøy, nettlesere og forretningsapplikasjoner, som er de mest utsatte målene når patchingen av operativsystemet er godt dekket. Når et nytt angrep retter seg mot en tredjepartsapplikasjon, betyr automatiske oppdateringer at applikasjonene ikke står upatchet mens manuelle prosesser arbeider seg gjennom køen. For angrepskoden Google bekreftet, gjelder dette særlig: Et webbasert verktøy for systemadministrasjon med kjent KI-generert angrepskode er nettopp den kategorien der manuell patching gir det største eksponeringsvinduet. Automatiske oppdateringer lukker det vinduet før det blir en hendelse.
Dette må styret forstå
Når KI presser sammen vinduet fra nulldagssårbarhet til aktiv utnyttelse, er spørsmålet for ledelsen ikke om virksomheten patcher raskt nok i absolutt forstand. Det er om virksomheten har den oversikten som trengs for å handle raskt nok når tidslinjen presses sammen. En virksomhet som patcher godt, men som ikke kan se hvilke endepunkter som er eksponert innen få timer etter en bekreftet nulldagssårbarhet, har et strukturelt gap som patchetempo alene ikke kan lukke. Verizon Data Breach Investigations Report peker gang på gang på gapet mellom at en sårbarhet offentliggjøres og at utbedringen er bekreftet, som en hovedfaktor bak sikkerhetsbrudd – KI-assistert utvikling av angrepskode gjør det gapet mer alvorlig, ikke mindre. Reell etterlevelse oppstår når driftspraksisen automatisk håndhever standardene for sikkerhet og styring – ikke når patchutrullingen rapporteres, mens statusen på endepunktene bare antas. Spørsmålet KI-akselerert utvikling av angrepskode reiser, er ikke nytt – det er det samme spørsmålet hvert sammenpresset patchevindu reiser: Kan teamet ditt se hvilke endepunkter som er eksponert, og lukke eksponeringen før vinduet lukkes? Book en demo for å vurdere oversikten du har over endepunktene, og se hvordan Security Monitor og Application Manager fungerer sammen – eller start en gratis prøveperiode og kontroller patchetiden og eksponeringsdekningen din allerede i dag.
