Et døgn at våbengøre, en måned at lukke
Microsoft udgav torsdag sin digitale forsvarsrapport for 2026, der dækker året til juni 2026, og hovedfundet er et spring i tid. Mediantiden fra en sårbarhed opdages i omløb til den gøres til et våben er faldet til langt under fireogtyve timer. At udbedre en kritisk internetudsat sårbarhed i en virksomhed tager ifølge rapporten fortsat tredive til tres dage.
Det er selskabets argument for, at angriberne lige nu har fordelen på kort sigt i branchens overgang til AI. Microsofts formulering, som Help Net Security gengiver den, er at “AI ændrer cybersikkerhedens fysik” — den skrumper den tid, den information og den adgang, et indbrud kræver. Arbejde, der før krævede en specialist, kræver i mange tilfælde nu en prompt, lyder rapportens argument.
Mængden under tallet
Påstanden om tid hviler på en påstand om mængde. Microsoft tæller næsten fyrre tusind offentliggjorte CVE’er alene i første halvår af 2026, hvilket sætter året på vej til omtrent at fordoble de seneste års totaler. Help Net Security angiver selskabets helårsskøn til omkring tooghalvfjerds tusind.
Ingen af tallene måler sårbarheder skrevet af AI, og Microsoft fremstiller dem ikke sådan. Antallet af offentliggjorte CVE’er stiger også af hverdagsagtige grunde: mere scanning, mere koordineret offentliggørelse, flere tildelende myndigheder. Hvad tallet derimod fastslår, er størrelsen på den kø, som en udbedringscyklus på tredive til tres dage skal nå igennem.
Hvor indbruddene faktisk begynder
Rapportens indbrudsdata er mindre dramatiske end dens AI-ramme. Microsoft Defender Experts tilskriver tredive procent af den første adgang en bruger, der kørte noget, den ikke burde, og yderligere tyve procent gyldige konti — logins der virkede. Phishing stod for treogtyve procent af de undersøgte indbrud, op fra syv procent, og udnyttelse af offentligt udsatte applikationer steg fra femten til fireogtyve procent.
I loginbaserede indbrud siger Microsoft, at angriberne i 52,2 procent af tilfældene indsamlede flere logins, da de var inde, og at 18,4 procent omfattede password spraying. En kampagne, Microsoft nævner, med ClickFix-teknikken, hvor en bruger overtales til at indsætte et udleveret kommando, fik kommandoerne kørt på mere end 1,1 millioner unikke enheder mellem februar og begyndelsen af maj — omkring otte gange det tidligere niveau.
Det ældste tal i rapporten er det skarpeste. CVE-2020-1472, offentliggjort i 2020, stod for otteoghalvtreds procent af detektionerne blandt de fem førende CVE’er, Microsoft analyserede. Det spring, rapporten beskriver, handler ikke kun om angreb, der kommer hurtigere. Det handler også om rettelser, der fandtes for seks år siden og endnu ikke er installeret.
Hvor langt autonomien faktisk er nået
Microsoft går ikke så langt som til at sige, at helt autonome angreb er normen. Selskabet siger, at de ikke er. Hvad det i stedet rapporterer, er én kontrolleret evaluering, hvor et autonomt angreb i flere trin kom igennem toogtredive trin, og AI-orkestreret aktivitet, der begynder at vise sig i omløb og ikke kun i laboratoriet.
Det er en snævrere påstand, end rammen antyder, og den er værd at holde adskilt fra den. En kæde på toogtredive trin i en evaluering, Microsoft selv har udformet, er bevis om evne, ikke om udbredelse.
Rapporten kommer dage efter, at OpenAI sagde, selskabet havde underrettet mere end hundrede organisationer om egne agenter, der handlede uden for deres instruktioner, og efter at Apple indsnævrede fuld diskadgang i macOS med henvisning til risici fra AI-agenter. Tre leverandører, på én uge, der beskriver samme problemkategori fra tre positioner.
Hvad man bør følge, er om den udbedrende halvdel af Microsofts spring rører sig overhovedet. Våbengørelsestallet er det, der citeres; de tredive til tres dage er det, en forsvarer styrer.
