Компания встраивает поиск уязвимостей с помощью ИИ в жизненный цикл разработки Windows, но окончательное решение по исправлениям остается за инженерами.
Microsoft опубликовала материал в блоге Windows Experience, посвященный изменениям в процессах поиска и устранения уязвимостей. Компания отмечает, что темпы обнаружения уязвимостей меняются: развитие ИИ позволяет находить больше проблем, быстрее и в большем объеме кода, а новые механизмы ускоряют как обнаружение, так и анализ.
Цель – находить и закрывать уязвимости раньше, чем ими воспользуются злоумышленники в атаках «нулевого дня».
Система MDASH сканирует код Windows
Для поиска уязвимостей Microsoft использует разработанную подразделением Microsoft Security мультимодельную агентную систему MDASH. Представленная в мае 2026 года платформа координирует работу более 100 специализированных ИИ-агентов, использующих различные модели искусственного интеллекта. Во время первых испытаний MDASH помогла обнаружить 16 уязвимостей Windows, включая четыре критические уязвимости удаленного выполнения кода (RCE).
MDASH анализирует критически важные двоичные файлы Windows, после чего найденные кандидаты проходят дополнительную проверку сразу несколькими моделями ИИ. Затем подтвержденные результаты поступают в отдельный конвейер проверки, разработанный специально для Windows, который помогает устранить оставшиеся ложные срабатывания до передачи находок инженерам.
По словам Microsoft, использование ИИ позволяет находить больше потенциальных уязвимостей и ускоряет их анализ. Компания не раскрывает, сколько подобных проблем уже удалось выявить в коде Windows.
ИИ помогает готовить исправления
ИИ используется не только для поиска уязвимостей, но и на этапе подготовки исправлений. По словам Microsoft, он помогает инженерам Windows:
- быстрее анализировать причины обнаруженных проблем;
- предлагать варианты исправлений;
- находить аналогичные ошибки в других участках исходного кода;
- подбирать наиболее подходящие тесты для проверки исправлений.
Для подготовки и проверки исправлений безопасности Microsoft использует специализированные инструменты Windows и агентные ИИ-системы. При этом компания придерживается принципа «человек в контуре» (human in the loop): все изменения проходят проверку и рецензирование инженерами, которые принимают окончательное решение перед выпуском обновлений.
Кроме того, Microsoft интегрирует поиск уязвимостей непосредственно в жизненный цикл разработки Windows, а не рассматривает его как отдельный этап. Компания обновляет практики Secure Development Lifecycle (SDL), учитывая методы атак с использованием ИИ, и внедряет ИИ-инструменты на ранних этапах разработки, чтобы выявлять потенциальные проблемы безопасности еще до выпуска новых функций.
Обновлений безопасности станет больше
Чем больше потенциальных уязвимостей находит ИИ, тем больше исправлений попадает в каждый ежемесячный выпуск обновлений безопасности. Компания пишет:
По мере того как ИИ помогает защитникам находить больше проблем, клиенты будут видеть больший объем обновлений безопасности в каждом выпуске.
По мнению Microsoft, увеличение количества исправлений – положительный признак. Это означает, что уязвимости выявляются и устраняются до того, как их успеют использовать злоумышленники. При этом компания отмечает, что ИИ активно применяют и атакующие, ускоряя поиск и эксплуатацию уязвимостей, включая уязвимости «нулевого дня».
Качество и надежность обновлений
Microsoft подчеркивает, что увеличение скорости выпуска исправлений не должно сказываться на их качестве. Обновления безопасности Windows проходят проверку в различных тестовых средах, включая программу Security Update Validation Program (SUVP), а также внутреннее тестирование на совместимость, надежность и работу в реальных сценариях.
Если после выпуска обновления выявляется проблема, Microsoft может использовать технологию отката известных проблем (Known Issue Rollback, KIR). Она позволяет быстро отключить конкретное проблемное изменение, не удаляя обновление целиком, благодаря чему остальные исправления безопасности продолжают действовать. Согласно документации Microsoft, KIR применяется только к изменениям, не связанным с безопасностью, и не используется для отката самих исправлений безопасности.
Защита между раскрытием и установкой обновления
Microsoft напоминает, что Windows 11 уже включает несколько встроенных уровней защиты, которые помогают снизить риск эксплуатации уязвимостей еще до установки исправлений:
- Windows Hello;
- снижение зависимости от прав администратора;
- использование доверенных приложений;
- аппаратные механизмы защиты.
В период между раскрытием уязвимости и установкой обновления дополнительную защиту обеспечивают Microsoft Defender и решения партнеров по безопасности. Через программу Microsoft Active Protections Program (MAPP) компания заранее предоставляет производителям средств защиты информацию, необходимую для подготовки сигнатур и других механизмов обнаружения угроз.
Для упрощения развертывания обновлений Microsoft также публикует сведения об устраненных уязвимостях (CVE), информацию об уровне риска и рекомендации в Security Update Guide, а также выпускает необязательные предварительные обновления, которые организации могут протестировать до выхода очередного «Вторника Патчей».
Ознакомиться с публикацией можно в официальном блоге Windows Experience.