40.000 de vulnerabilități în șase luni: IA comprimă timpul de atac

Microsoft a publicat la 1 octombrie 2026 raportul său de apărare digitală: aproape 40.000 de vulnerabilități CVE au fost publicate în primele șase luni ale anului, iar remedierea vulnerabilităților critice din sisteme expuse internetului poate dura 30–60 de zile. Inteligența artificială accelerează descoperirea slăbiciunilor și anumite etape ale atacului, mărind presiunea asupra echipelor care trebuie să reducă expunerea. Pentru organizațiile care folosesc servicii cloud, concluzia imediată privește timpul dintre semnal și măsura de protecție.

În analiza BleepingComputer, intervalul median de la descoperirea unei vulnerabilități în mediul real până la pregătirea ei pentru atac este redat prin formula Microsoft „well below 24 hours”. Aceasta descrie pregătirea unei metode de exploatare, nu compromiterea automată a tuturor sistemelor afectate. Diferența dintre aceste ritmuri pune pe primul plan identitățile, accesul agenților IA la date, corelarea alertelor și vulnerabilitățile rămase deschise.

Ritmul atacului și coada remedierilor

Volumul de CVE publicate arată cât de multe probleme noi intră în circuitul de evaluare. O vulnerabilitate divulgată poate afecta un produs pe care instituția nu îl folosește, o versiune care a fost deja înlocuită sau un serviciu fără acces din exterior. De aceea, totalul global nu se traduce într-un număr egal de sisteme locale expuse. Inventarul aplicațiilor și al componentelor folosite devine punctul de legătură dintre informația publică despre o slăbiciune și riscul real pentru o organizație.

Decalajul temporal explică de ce simpla așteptare a următorului ciclu obișnuit de actualizări poate lăsa un serviciu critic accesibil. Când instalarea remedierii cere testare, accesul la funcția afectată poate fi restrâns temporar, iar serviciul poate fi izolat până la finalizarea schimbării. Prioritatea crește dacă sistemul este expus internetului, controlează autentificarea sau permite trecerea către alte aplicații. Aceste criterii se referă la consecința unei exploatări, nu doar la severitatea atribuită vulnerabilității.

Problemele vechi rămân relevante în acest calcul. Vârsta unei breșe nu arată dacă un serviciu a fost actualizat: o aplicație lăsată în funcțiune, o dependență uitată sau o configurație moștenită pot păstra deschisă calea de acces. Pentru o echipă mică, reducerea acestei expuneri cunoscute poate avea un efect mai clar decât tratarea tuturor anunțurilor noi ca urgențe identice.

Sectorul public: observație și prognoză

În analiza Microsoft pentru guverne, instituțiile și serviciile publice reprezintă 27% din activitatea de amenințare observată în 2026, față de 17% în 2025, iar totalul CVE divulgate public este proiectat să ajungă la 72.000 până la sfârșitul lui 2026. Procentele descriu activitatea văzută în datele companiei; totalul anual este o estimare. Ele nu sunt o rată a incidentelor din România sau Republica Moldova și nu indică proporția instituțiilor compromise.

Riscul specific administrației vine din legăturile dintre servicii. O instituție poate depinde de identități administrate central, de aplicații furnizate din exterior și de operatori care întrețin servicii publice esențiale. O intruziune începută într-un cont sau într-o aplicație expusă poate căpăta altă amploare dacă acea cale oferă acces la sisteme folosite de mai multe instituții. De aceea, evaluarea impactului trebuie să includă furnizorii, conturile cu drepturi extinse și serviciile care depind unele de altele.

Observația despre creșterea ponderii sectorului public trebuie citită împreună cu această metodă de măsurare. Datele provin din vizibilitatea unui furnizor asupra activității de amenințare, iar schimbarea ponderii nu spune singură dacă fiecare instituție a fost atacată mai des. Pentru deciziile locale este mai utilă identificarea serviciilor a căror oprire ar afecta cetățenii și a persoanelor care pot autoriza rapid limitarea unui acces compromis.

Identitățile și agenții IA cer limite clare

Conturile valide rămân o cale prin care activitatea unui atacator poate semăna cu munca obișnuită. Un cont administrativ folosit în prea multe sisteme îi oferă celui care îl compromite mai multe opțiuni de mișcare. Protejarea identităților înseamnă autentificare puternică, drepturi acordate strict pentru rolul necesar și retragerea accesului care nu mai are un proprietar sau o sarcină clară. Aceste măsuri reduc impactul posibil al unei intrări reușite, chiar dacă descoperirea ei întârzie.

Agenții IA adaugă identități software la aceeași hartă a accesului. Dacă un agent poate consulta depozite de date, folosi instrumente și iniția acțiuni prin interfețe API, permisiunile sale trebuie să corespundă sarcinii pe care o execută. O instrucțiune malițioasă introdusă într-o sursă consultată de agent sau o configurare greșită poate produce efecte mai largi atunci când același agent are acces la prea multe aplicații. Separarea sarcinilor și a datelor limitează cât de departe se poate propaga o astfel de acțiune.

Controlul nu se încheie la acordarea inițială a permisiunilor. Organizația trebuie să poată vedea sub ce identitate a lucrat agentul, ce instrument a invocat și unde au ajuns datele accesate. Când o integrare se schimbă sau un agent este retras, drepturile asociate trebuie schimbate odată cu ea. Astfel, accesul automatizat poate fi revocat fără a întrerupe arbitrar celelalte servicii care folosesc aceeași infrastructură.

Alertele au valoare când indică o decizie

Semnalele despre autentificări, terminale, e-mail, aplicații și servicii cloud sunt mai utile împreună decât ca notificări separate. O conectare neobișnuită poate căpăta sens când coincide cu modificarea unei aplicații sau cu o acțiune neașteptată a unui agent IA. Corelarea arată ce identitate, ce sistem și ce date sunt implicate; abia apoi echipa poate decide dacă restrânge accesul, izolează un serviciu sau investighează mai departe.

Pentru instituțiile cu personal redus, aceasta înseamnă o ordine de lucru bazată pe expunere și impact, nu pe numărul de alerte închise. O notificare despre un serviciu public accesibil din internet și legat de identități importante merită atenție înaintea uneia fără cale clară spre date sensibile. Dacă furnizorul controlează actualizarea sau oprirea serviciului, traseul de escaladare trebuie cunoscut înainte ca incidentul să ceară o decizie rapidă.

Intervalul câștigat printr-o alertă timpurie se pierde dacă nimeni nu poate schimba drepturile, limita accesul sau porni remedierea. Pentru organizațiile din România și Republica Moldova, aceasta este consecința practică: valoarea apărării se măsoară în expunerea eliminată înainte ca atacatorul să poată folosi calea găsită.

Citește și:

• WordPress sau Squarespace: portofoliul simplu poate evita luni de mentenanță
• Moldova Innovation Fund oferă 40.000 €: ideea trece prin șase etape