Sztuczna inteligencja daje badaczom bezpieczeństwa nowe możliwości analizy kodu i śledzenia anomalii, ale jednocześnie aktorzy zagrożeń zaczynają używać AI do tworzenia exploitów. W maju 2026 roku Google Threat Intelligence Group zgłosiło pierwszy potwierdzony przypadek, w którym threat actor wykorzystał AI do pomocy w opracowaniu zero-day exploita. Luka dotyczyła populárnego open-source'owego narzędzia do administracji systemami - exploit pojawił się w skrypcie Pythona i omijał uwierzytelnianie dwuetapowe, gdy dostępne były już ważne poświadczenia. Google stwierdziła z dużą pewnością, że model AI wspomógł zarówno odkrycie podatności, jak i jej zabranienie.
Znaczenie tego przypadku tkwi w charakterze samej luki - dotyczyła ona hard-coded'owanego założenia zaufania, a nie klasycznych błędów takich jak crash, wyciek pamięci czy niebezpieczna obsługa danych wejściowych. Tradycyjne narzędzia do fuzzingu i analizy statycznej źle radzą sobie z tego typu wadami. Eksperci wskazali na nietypowe cechy exploita, które sugerują udział AI: szczegółowe komentarze instruktażowe, sfabrykowany score podatności i wysoko ustrukturyzowany styl kodu typowy dla generowanego kodu.
Chociaż AI lepiej niż kiedyś znajduje luki w oprogramowaniu, szybka analiza ma sens tylko wtedy, gdy organizacje potrafią również szybko ustalić, gdzie wdrożone jest podatne oprogramowanie. Kompozycja kontenerów, dokumentacja zależności i szybkość przebudowy systemu mają kluczowy wpływ na szybkość reakcji po wykryciu nieznanej podatności. Scenariusz opisany przez Google pokazuje, że cyberbezpieczeństwo staje się coraz bardziej dwustronnym wyścigiem między obronną a ofensywną AI.