AI do polowania na luki w kodzie: co nowa generacja modeli cyberbezpieczeństwa zmienia dla instytucji publicznych

Google opublikował dwa warianty nowego modelu Flash. Jeden to model roboczy do zadań agentycznych i programowania. Drugi, Flash Cyber, to coś rzadszego: model zaprojektowany od podstaw pod kątem cyberbezpieczeństwa. Jego zadanie to znajdowanie podatności w kodzie i proponowanie łatek, zanim ktoś je wykorzysta. W wewnętrznych testach osiągnął ponad siedemdziesiąt procent skuteczności w wykrywaniu luk w dwudziestu językach programowania. Na branżowych benchmarkach mierzących zdolność do automatycznego łatania kodu wypadł na poziomie, który jeszcze rok temu kojarzył się wyłącznie z największymi, najdroższymi modelami.

To nie jest kolejny asystent do pisania maili. To narzędzie, które skanuje repozytoria i wskazuje konkretne miejsca, gdzie coś może się posypać.

Co to oznacza dla polskich urzędów i instytucji publicznych

Polskie instytucje publiczne mają problem, o którym rzadko mówi się wprost: ogromną ilość starszego kodu, za którym nie nadąża żaden audyt bezpieczeństwa. Systemy dziedziczne, oprogramowanie pisane na zamówienie sprzed dekady, integracje sklejone doraźnie, żeby zdążyć na termin projektu unijnego. Audyt manualny takiego kodu kosztuje dużo i trwa długo. Większość instytucji po prostu go nie robi.

Model zdolny do przeskanowania repozytorium w wielu językach i wylistowania podatności z sugestią poprawki zmienia ten rachunek. Nie zastąpi eksperta od bezpieczeństwa, który oceni kontekst i ryzyko biznesowe. Ale może zrobić to, co dziś wymaga tygodni pracy: przejrzeć tysiące plików i powiedzieć, gdzie patrzeć w pierwszej kolejności.

Dla instytucji zamawiających oprogramowanie zewnętrznie pojawia się nowa możliwość. Automatyczne sprawdzanie dostarczanego kodu przed odbiorem technicznym. Nie jako formalność, ale jako rzeczywista weryfikacja. Wykonawca wie, że kod przejdzie przez skaner i zacznie dbać o jakość wcześniej, nie dopiero po incydencie.

• Audyt kodu dziedzicznego staje się wykonalny finansowo, nawet dla jednostek bez dużego budżetu na cyberbezpieczeństwo.
• Odbiór zamówień IT może zyskać dodatkową warstwę weryfikacji, niezależną od wykonawcy.
• Reagowanie na incydenty przyspiesza, gdy model wskaże prawdopodobne miejsce podatności zamiast przeszukiwać tysiące linii ręcznie.

Warto pamiętać o jednym. Modele tego typu działają statystycznie i mogą się mylić w obie strony: pokazać fałszywy alarm albo przeoczyć coś istotnego. Wymagają nadzoru osoby, która rozumie architekturę systemu. Ale jako pierwszy filtr, który wyłapuje oczywiste błędy i znane wzorce podatności? Są dziś wyraźnie lepsze niż nic, a cena dostępu do nich szybko spada.

Instytucje, które zaczną eksperymentować z takimi narzędziami teraz, wypracują procedury i kompetencje zanim staną się one wymaganym standardem zamówień publicznych. Jeśli chcesz sprawdzić, jak to może wyglądać w praktyce w Twojej instytucji, zapraszamy na bezpłatny audyt.