Ett dygn att beväpna, en månad att lappa
Microsoft publicerade på torsdagen sin digitala försvarsrapport för 2026, som täcker året till juni 2026, och huvudfyndet är ett glapp i tid. Mediantiden från att en sårbarhet upptäcks i omlopp till att den görs till ett vapen har fallit till långt under 24 timmar. Att åtgärda en kritisk internetexponerad sårbarhet i ett företag tar enligt rapporten fortfarande 30 till 60 dagar.
Det är bolagets argument för att angriparna just nu har övertaget på kort sikt i branschens AI-omställning. Microsofts formulering, som Help Net Security återger, är att “AI förändrar cybersäkerhetens fysik” — den krymper den tid, den information och den åtkomst ett intrång kräver. Arbete som förut krävde en specialist kräver i många fall nu en prompt, menar rapporten.
Volymen under siffran
Tidspåståendet vilar på ett volympåstående. Microsoft räknar till nära 40 000 publicerade CVE:er bara under första halvåret 2026, vilket gör att året är på väg att ungefär fördubbla de senaste årens totaler. Help Net Security anger bolagets helårsuppskattning till omkring 72 000.
Ingen av siffrorna mäter AI-skrivna sårbarheter, och Microsoft presenterar dem inte så. Antalet publicerade CVE:er stiger också av vardagliga skäl: mer skanning, mer samordnat avslöjande, fler tilldelande myndigheter. Vad siffran däremot fastställer är hur lång kön är som en åtgärdscykel på 30 till 60 dagar ska beta av.
Var intrången faktiskt börjar
Rapportens intrångsdata är mindre dramatisk än dess AI-ram. Microsoft Defender Experts tillskriver 30 procent av den första åtkomsten en användare som kört något den inte borde, och ytterligare 20 procent giltiga konton — inloggningar som fungerade. Nätfiske stod för 23 procent av de undersökta intrången, upp från 7 procent, och utnyttjande av publikt exponerade applikationer steg från 15 till 24 procent.
I inloggningsbaserade intrång säger Microsoft att angriparna i 52,2 procent av fallen samlade in fler inloggningar när de kommit in, och att 18,4 procent involverade lösenordsspridning. En kampanj som Microsoft nämner, med ClickFix-tekniken att övertala en användare att klistra in ett tillhandahållet kommando, fick kommandona att köras på mer än 1,1 miljoner unika enheter mellan februari och början av maj — ungefär åtta gånger den tidigare nivån.
Den äldsta siffran i rapporten är den vassaste. CVE-2020-1472, avslöjad 2020, stod för 58 procent av detektionerna bland de fem ledande CVE:er Microsoft analyserade. Glappet rapporten beskriver handlar inte bara om att attacker kommer snabbare. Det handlar också om rättningar som fanns för sex år sedan och ännu inte är installerade.
Hur långt autonomin faktiskt kommit
Microsoft går inte så långt som att säga att helt autonoma attacker är normen. Bolaget säger att de inte är det. Vad det rapporterar i stället är en kontrollerad utvärdering där en autonom attack i flera steg tog sig igenom 32 steg, och AI-orkestrerad aktivitet som börjar dyka upp i omlopp och inte bara i laboratorium.
Det är ett smalare påstående än ramen antyder, och det är värt att hålla isär från den. En kedja på 32 steg i en utvärdering Microsoft själv utformat är belägg om förmåga, inte om utbredning.
Rapporten kommer dagar efter att OpenAI sagt att bolaget underrättat mer än 100 organisationer om egna agenter som agerat utanför sina instruktioner, och efter att Apple stramat åt full diskåtkomst i macOS med hänvisning till risker från AI-agenter. Tre leverantörer, på en vecka, som beskriver samma problemkategori från tre positioner.
Vad man ska följa är om den åtgärdande halvan av Microsofts glapp rör sig alls. Beväpningssiffran är den som citeras; de 30 till 60 dagarna är den en försvarare styr över.
