Poradniki

AI szuka dziur w stronach szybciej niż ludzie. Twoja strona też jest na liście

5 października, 2026 Możliwość komentowania AI szuka dziur w stronach szybciej niż ludzie. Twoja strona też jest na liście została wyłączona
Kłódka na klawiaturze laptopa

Jeszcze dwa lata temu znalezienie poważnej dziury w popularnym oprogramowaniu wymagało tygodni pracy doświadczonego specjalisty. Dziś robi to model AI, w kilka godzin i za ułamek ceny. To dobra wiadomość dla obrońców i równie dobra dla włamywaczy. Dla właściciela strony oznacza jedno: czas, w którym można było odłożyć aktualizację „na później”, właśnie się skończył.

Co się zmieniło: liczby zamiast straszenia

Zacznijmy od WordPressa, bo na nim działa ponad 40% stron na świecie.

Firma Patchstack, która zawodowo zbiera zgłoszenia luk w ekosystemie WordPressa, policzyła rok 2025:

  • 11 334 nowe luki, czyli o 42% więcej niż rok wcześniej.
  • 91% z nich siedziało we wtyczkach, 9% w motywach. W samym WordPressie znaleziono 6, wszystkie o niskim priorytecie.
  • Liczba luk łatwych do masowego wykorzystania wzrosła o 113% rok do roku.
  • 46% luk nie miało poprawki w dniu, w którym ich opis stał się publiczny.

Dwa wnioski są ważniejsze niż same liczby. Po pierwsze, problemem nie jest WordPress, tylko to, co do niego doinstalowujemy. Po drugie, prawie co druga luka przez jakiś czas nie ma lekarstwa. Sama aktualizacja nie zawsze wystarczy, bo bywa, że nie ma jeszcze czego instalować.

Pięć godzin

Najbardziej niewygodna liczba z tego raportu dotyczy czasu. Dla najmocniej atakowanych luk mediana czasu do pierwszych masowych ataków wyniosła 5 godzin od publikacji. Mniej więcej połowa groźnych luk była wykorzystywana w ciągu doby.

W branży nazywa się to time to exploit, czyli czas od ujawnienia luki do działającego ataku. CERT-EU, zespół reagowania na incydenty instytucji Unii Europejskiej, przytacza dane, według których w 2018 roku średnia wynosiła 63 dni. Dziś bywa ujemna: atak zaczyna się, zanim poprawka w ogóle istnieje. Taką lukę nazywa się zero-day, bo obrońca ma zero dni na reakcję.

Jeśli aktualizujesz wtyczki raz w miesiącu, to przy pięciu godzinach jesteś spóźniony o 29 dni.

Skąd to przyspieszenie: modele AI

Przez lata szukanie luk było rzemiosłem. Trzeba było czytać cudzy kod, rozumieć go i mieć pomysł, gdzie autor mógł się pomylić. Modele językowe robią dokładnie to, tylko bez zmęczenia i równolegle na tysiącach projektów.

Kilka faktów z ostatnich kilkunastu miesięcy:

  • Big Sleep, agent AI Google’a, znalazł w 2025 roku 20 prawdziwych luk w otwartym oprogramowaniu, w tym błąd w bazie SQLite, który przeoczyli ludzie.
  • XBOW, w pełni autonomiczny system do testów penetracyjnych, zajął w 2025 roku pierwsze miejsce w amerykańskim rankingu HackerOne, platformy, na której firmy płacą za znalezione luki. Wysłał około 1060 zgłoszeń.
  • Anthropic podał w lutym 2026, że jego model zidentyfikował ponad 500 poważnych luk w otwartym oprogramowaniu. Następna generacja modelu znalazła ich tysiące, w każdym dużym systemie operacyjnym i przeglądarce.
  • System firmy AISLE znalazł wszystkie 12 luk z jednej paczki poprawek biblioteki OpenSSL. Jedna z nich siedziała w kodzie od 1998 roku. Ten kod przez ćwierć wieku czytali najlepsi specjaliści na świecie.
  • W finale konkursu DARPA zespoły AI przejrzały 54 miliony linii kodu w cztery godziny. Koszt znalezienia jednej luki wyniósł około 152 dolarów.

Ta ostatnia liczba tłumaczy wszystko. CERT-EU pisze wprost, że AI zmienia ekonomię szukania luk. Gdy znalezienie dziury kosztowało tygodnie pracy eksperta, opłacało się szukać tylko w dużych celach. Gdy kosztuje tyle co obiad, opłaca się przeszukać każdą wtyczkę z katalogu, także tę z pięcioma tysiącami instalacji, której używa Twój sklep.

Uczciwie: AI nie jest jedyną przyczyną

Nikt nie udowodnił, że wzrost o 42% to zasługa samych modeli AI. Rośnie też liczba wtyczek, programów nagród za zgłoszenia i samych badaczy. Patchstack zauważa zresztą drugą stronę medalu: zalew bezwartościowych zgłoszeń pisanych przez AI w nadziei na łatwą nagrodę.

Kierunek jest jednak jasny i potwierdzają go niezależne źródła. Szukanie luk tanieje, a czas do ataku się skraca. Te same narzędzia, które pomagają obrońcom, pomagają też tym, którzy piszą exploity, czyli gotowe programy wykorzystujące konkretną lukę.

„Moja strona jest za mała, żeby ktoś się nią interesował”

To najczęstsze i najdroższe nieporozumienie. Nikt nie wybiera Twojej strony. Boty skanują cały internet i pytają każdy adres o to samo: czy masz wtyczkę X w wersji podatnej na atak. Numer wersji często widać w kodzie strony, więc odpowiedź zajmuje ułamek sekundy.

Przejęta mała strona jest dla atakującego równie użyteczna jak duża. Posłuży do rozsyłania spamu, do przekierowywania Twoich klientów na fałszywe sklepy, do kradzieży danych z formularzy albo jako przystanek do ataku na kogoś innego. Ty dowiadujesz się o tym od klienta, od Google, które oznacza stronę jako niebezpieczną, albo od hostingu, który ją wyłącza.

Jest jeszcze jeden wynik z raportu Patchstack, który powinien dać do myślenia. Standardowe zabezpieczenia hostingów zatrzymały w testach tylko 12% ataków na znane, aktywnie wykorzystywane luki. „Mam dobry hosting” to nie jest plan.

Co z tym zrobić: pięć rzeczy, które realnie działają

  1. Skróć czas reakcji z tygodni do godzin. Włącz automatyczne aktualizacje dla wtyczek, którym ufasz, a pozostałe sprawdzaj co najmniej raz w tygodniu. Przedtem zadbaj o codzienną kopię zapasową, żeby aktualizacja nie była loterią.
  2. Zmniejsz powierzchnię ataku. To pojęcie oznacza wszystko, przez co można się do Ciebie dostać. Każda wtyczka to potencjalne drzwi. Usuń te, których nie używasz. Wyłączona, ale zainstalowana wtyczka nadal może być dziurawa.
  3. Dowiaduj się o lukach tego samego dnia. Skoro ataki zaczynają się po pięciu godzinach, informacja z newslettera po dwóch tygodniach jest bezużyteczna. Potrzebujesz czegoś, co porównuje Twoje wersje wtyczek z bazą znanych luk codziennie i samo daje znać.
  4. Postaw zaporę przed stroną. Zapora aplikacyjna, w skrócie WAF, na przykład Cloudflare, potrafi zablokować atak na lukę, do której nie ma jeszcze poprawki. Nazywa się to wirtualnym łataniem. Przy 46% luk bez poprawki w dniu publikacji to nie jest dodatek, tylko konieczność.
  5. Zamknij oczywiste wejścia. Logowanie dwuetapowe dla administratorów, wyłączony stary interfejs XML-RPC, ukryta lista loginów. To nie zatrzyma wszystkiego, ale odsiewa masowe, automatyczne próby.

Sprawdź swoją stronę w kilkanaście sekund

Większość właścicieli nie wie, co ich strona pokazuje światu. Dlatego zrobiliśmy darmowy skaner.

Wpisz adres na eyesite.pl/skaner. Bez logowania i bez instalowania czegokolwiek zobaczysz:

  • czy wersje Twojego WordPressa i wtyczek mają publicznie znane luki, z numerem wersji, w której je naprawiono,
  • czy z zewnątrz widać loginy, listy plików i stary interfejs zdalny,
  • czy maile ze strony dochodzą i czy Google oraz asystenci AI w ogóle mogą Twoją stronę przeczytać.

Jeśli strona działa na WordPressie, zainstaluj potem darmową wtyczkę Eyesite Monitor. Sprawdza od środka dokładne wersje wszystkich wtyczek, codziennie porównuje je z bazą znanych luk i pisze do Ciebie tego samego dnia, w którym pojawi się nowe zagrożenie. Bez karty kredytowej, bez okresu próbnego, a dane Twoich klientów zostają u Ciebie.

Modele AI nie śpią i nie odkładają niczego na weekend. Twoja strona nie musi być twierdzą. Wystarczy, że nie będzie najłatwiejszym celem w okolicy.

Źródła

Zdjęcie: FlyD / Unsplash