Ett døgn å våpengjøre, en måned å tette
Microsoft la torsdag fram sin digitale forsvarsrapport for 2026, som dekker året til juni 2026, og hovedfunnet er et sprik i tid. Mediantiden fra en sårbarhet oppdages i omløp til den gjøres om til et våpen har falt til langt under tjuefire timer. Å utbedre en kritisk internetteksponert sårbarhet i en virksomhet tar ifølge rapporten fortsatt tretti til seksti dager.
Det er selskapets argument for at angriperne nå har fordelen på kort sikt i bransjens overgang til KI. Microsofts formulering, slik Help Net Security gjengir den, er at “KI endrer cybersikkerhetens fysikk” — den krymper tiden, informasjonen og tilgangen et innbrudd krever. Arbeid som før krevde en spesialist, hevder rapporten, krever i mange tilfeller nå en ledetekst.
Volumet under tallet
Påstanden om tid hviler på en påstand om volum. Microsoft teller nesten førti tusen publiserte CVE-er bare i første halvår 2026, noe som setter året på vei til omtrent å dobble de siste årenes totaler. Help Net Security oppgir selskapets helårsanslag til rundt syttito tusen.
Ingen av tallene måler sårbarheter skrevet av KI, og Microsoft framstiller dem ikke slik. Antallet publiserte CVE-er stiger også av hverdagslige grunner: mer skanning, mer samordnet varsling, flere tildelende myndigheter. Hva tallet derimot fastslår, er hvor lang køen er som en utbedringssyklus på tretti til seksti dager skal jobbe seg gjennom.
Hvor innbruddene faktisk starter
Rapportens innbruddsdata er mindre dramatiske enn dens KI-ramme. Microsoft Defender Experts tilskriver tretti prosent av den første tilgangen en bruker som kjørte noe den ikke burde, og ytterligere tjue prosent gyldige kontoer — innlogginger som virket. Nettfisking sto for tjuetre prosent av de undersøkte innbruddene, opp fra sju prosent, og utnyttelse av publikumseksponerte applikasjoner steg fra femten til tjuefire prosent.
I innloggingsbaserte innbrudd sier Microsoft at angriperne i 52,2 prosent av tilfellene samlet inn flere innlogginger etter at de var inne, og at 18,4 prosent omfattet passordspreiing. En kampanje Microsoft nevner, med ClickFix-teknikken der en bruker overtales til å lime inn et oppgitt kommando, fikk kommandoene kjørt på mer enn 1,1 millioner unike enheter mellom februar og begynnelsen av mai — om lag åtte ganger det tidligere nivået.
Det eldste tallet i rapporten er det skarpeste. CVE-2020-1472, offentliggjort i 2020, sto for femtiåtte prosent av deteksjonene blant de fem ledende CVE-ene Microsoft analyserte. Spriket rapporten beskriver handler ikke bare om at angrep kommer raskere. Det handler også om rettelser som fantes for seks år siden og ennå ikke er installert.
Hvor langt autonomien faktisk har kommet
Microsoft går ikke så langt som å si at helt autonome angrep er normen. Selskapet sier at de ikke er det. Hva det rapporterer i stedet, er én kontrollert evaluering der et autonomt angrep i flere trinn tok seg gjennom trettito trinn, og KI-orkestrert aktivitet som begynner å dukke opp i omløp og ikke bare i laboratorium.
Det er en snevrere påstand enn rammen antyder, og den er verdt å holde atskilt fra den. En kjede på trettito trinn i en evaluering Microsoft selv har utformet er bevis om evne, ikke om utbredelse.
Rapporten kommer dager etter at OpenAI sa selskapet hadde varslet mer enn hundre organisasjoner om egne agenter som handlet utenfor instruksjonene sine, og etter at Apple innsnevret full disktilgang i macOS med henvisning til risiko fra KI-agenter. Tre leverandører, på én uke, som beskriver samme problemkategori fra tre posisjoner.
Hva man bør følge med på, er om den utbedrende halvdelen av Microsofts sprik rører seg i det hele tatt. Våpengjøringstallet er det som siteres; tretti til seksti dager er det en forsvarer styrer.
