माइक्रोसॉफ्ट का कहना है कि एक खामी अब एक दिन से कम में हथियार बन जाती है, और उसे ठीक करने में अब भी एक महीना लगता है

हथियार बनाने में एक दिन, पैच करने में एक महीना

माइक्रोसॉफ्ट ने गुरुवार को अपनी 2026 डिजिटल डिफेंस रिपोर्ट प्रकाशित की, जो जून 2026 तक के वर्ष को कवर करती है, और इसका केंद्रीय निष्कर्ष समय का एक बेमेल है। किसी खामी के प्रचलन में पकड़े जाने से उसे हथियार बना लेने तक का औसत समय 24 घंटे से बहुत नीचे गिर चुका है। रिपोर्ट के अनुसार, किसी कंपनी में इंटरनेट से जुड़ी गंभीर खामी को ठीक करने में अब भी 30 से 60 दिन लगते हैं।

यही कंपनी का तर्क है कि क्षेत्र के एआई संक्रमण में निकट भविष्य की बढ़त अभी हमलावरों के पास है। हेल्प नेट सिक्योरिटी के अनुसार माइक्रोसॉफ्ट की भाषा यह है कि “एआई साइबर सुरक्षा का भौतिकशास्त्र बदल रहा है” — यह उस समय, उस जानकारी और उस पहुँच को सिकोड़ देता है जो एक घुसपैठ के लिए ज़रूरी है। रिपोर्ट का तर्क है कि जिस काम के लिए पहले एक विशेषज्ञ चाहिए था, अब कई मामलों में एक प्रॉम्प्ट चाहिए।

नीचे पड़ी मात्रा

समय का दावा मात्रा के दावे पर टिका है। माइक्रोसॉफ्ट 2026 की पहली छमाही में ही लगभग 40,000 सीवीई प्रकाशित होना गिनता है, जिससे यह वर्ष हाल के वार्षिक आंकड़ों को लगभग दोगुना करने की राह पर है। हेल्प नेट सिक्योरिटी कंपनी का पूरे वर्ष का अनुमान लगभग 72,000 बताती है।

दोनों आंकड़ों में से कोई एआई द्वारा लिखी गई खामियों को नहीं मापता, और माइक्रोसॉफ्ट उन्हें वैसा पेश भी नहीं करता। प्रकाशित सीवीई सामान्य कारणों से भी बढ़ते हैं: अधिक स्कैनिंग, अधिक समन्वित खुलासा, अधिक आवंटन प्राधिकरण। जो यह आंकड़ा स्थापित करता है वह उस कतार का आकार है जिसे 30 से 60 दिन का सुधार चक्र निपटाना होता है।

घुसपैठ असल में कहाँ से शुरू होती है

रिपोर्ट का घुसपैठ डेटा उसके एआई ढाँचे से कम नाटकीय है। माइक्रोसॉफ्ट डिफेंडर एक्सपर्ट्स शुरुआती पहुँच का 30 प्रतिशत उस उपयोगकर्ता को देता है जिसने कुछ ऐसा चलाया जो नहीं चलाना था, और अन्य 20 प्रतिशत वैध खातों को — वे प्रमाण-पत्र जो काम कर गए। जाँची गई घुसपैठों में फ़िशिंग का हिस्सा 23 प्रतिशत था, जो पहले 7 प्रतिशत था, और सार्वजनिक रूप से खुले ऐप्लिकेशन के दोहन का हिस्सा 15 से 24 प्रतिशत हो गया।

प्रमाण-पत्र आधारित घुसपैठों में माइक्रोसॉफ्ट कहता है कि 52.2 प्रतिशत मामलों में हमलावरों ने अंदर पहुँचकर और प्रमाण-पत्र जुटाए, और 18.4 प्रतिशत में पासवर्ड स्प्रे अभियान शामिल था। माइक्रोसॉफ्ट एक अभियान का हवाला देता है जिसमें क्लिकफ़िक्स तकनीक से उपयोगकर्ता को दिया गया कमांड चिपकाने के लिए राज़ी किया गया; वे कमांड फ़रवरी से मई के आरंभ तक 11 लाख से अधिक अद्वितीय उपकरणों पर चले — पहले के स्तर से लगभग आठ गुना।

रिपोर्ट का सबसे पुराना आंकड़ा सबसे चुभने वाला है। 2020 में सामने आई CVE-2020-1472 माइक्रोसॉफ्ट द्वारा जाँची गई पाँच प्रमुख खामियों में से 58 प्रतिशत पहचानों के लिए ज़िम्मेदार रही। रिपोर्ट जो खाई बताती है वह केवल तेज़ आते हमलों की नहीं है। वह छह साल पहले उपलब्ध उन सुधारों की भी है जो अब तक लगाए नहीं गए।

स्वायत्तता असल में कहाँ तक पहुँची है

माइक्रोसॉफ्ट यह कहने तक नहीं जाता कि पूर्णतः स्वायत्त हमले आम हो गए हैं। वह कहता है कि वे आम नहीं हैं। इसके बजाय वह एक नियंत्रित मूल्यांकन बताता है जिसमें एक बहु-चरणीय स्वायत्त हमला 32 चरणों तक चला, और एआई द्वारा संचालित गतिविधि जो केवल प्रयोगशाला में नहीं, प्रचलन में भी दिखने लगी है।

यह दावा शीर्षक के ढाँचे से अधिक संकीर्ण है, और उससे अलग रखने योग्य है। माइक्रोसॉफ्ट द्वारा ही रचे गए मूल्यांकन में 32 चरणों की शृंखला क्षमता का प्रमाण है, व्यापकता का नहीं।

यह रिपोर्ट ओपनएआई के उस कथन के कुछ दिन बाद आई है कि उसने 100 से अधिक संगठनों को अपने ही एजेंटों के बारे में सूचित किया जो अपने निर्देशों से बाहर चले गए, और एप्पल द्वारा एआई एजेंटों के जोखिम का हवाला देकर macOS में पूर्ण डिस्क पहुँच संकुचित करने के बाद। तीन विक्रेता, एक सप्ताह में, तीन स्थितियों से वही समस्या-श्रेणी बताते हुए।

देखने की बात यह है कि माइक्रोसॉफ्ट की खाई का सुधार वाला आधा हिस्सा ज़रा भी हिलता है या नहीं। हथियार बनने का आंकड़ा उद्धृत होता है; 30 से 60 दिन का आंकड़ा वह है जिस पर रक्षक का नियंत्रण है।