Fogalomtár › Biztonság

sebezhetőség

angolul: vulnerability

A sebezhetőség olyan hiba vagy gyenge pont egy szoftverben, eszközben vagy AI-rendszerben, amelyet kihasználva a támadó olyasmit tehet, amire nem lenne joga.

Érthetően

Képzeld el, hogy a lakásodon van egy ablak, amelynek rossz a zárja. Amíg senki nem veszi észre, nem történik semmi, de a lehetőség ott van: aki tud róla, bemehet rajta. A sebezhetőség pontosan ilyen rosszul záródó ablak egy programban, telefonban, weboldalon vagy AI-rendszerben.

A sebezhetőség önmagában még nem támadás és nem kár, csak a lehetősége. Azért fontos tudni róla, mert ha megtalálják és kijavítják, mielőtt egy rosszindulatú ember rálelne, a baj megelőzhető. Erre valók a biztonsági frissítések, amelyeket a telefonod és a géped rendszeresen kér.

Az AI-agenteknél a fogalom kibővül. Itt nemcsak a programkód lehet hibás, hanem maga a működési elv is támadható: az agent szöveges utasításokat követ, így egy weboldalba vagy e-mailbe rejtett mondat is rábírhatja arra, hogy mást tegyen, mint amit kértél tőle.

Hogyan működik

1. Keletkezés: a gyenge pont tervezési hibából, programozási tévedésből, rossz beállításból vagy elavult alkatrészből születik, többnyire úgy, hogy senki nem veszi észre.
2. Felfedezés: valaki rátalál. Lehet a gyártó, egy független biztonsági kutató, egy automatikus vizsgálóeszköz, egy hibakereső AI-agent, vagy rossz esetben egy támadó.
3. Bejelentés és nyilvántartás: a jóhiszemű felfedező szól a gyártónak. A nyilvánosságra kerülő hibák jellemzően egyedi azonosítót (CVE-számot) és súlyossági pontszámot (például CVSS-pontszámot) kapnak, hogy mindenki ugyanarról beszéljen.
4. Javítás: a gyártó biztonsági frissítést (javítócsomagot, angolul patch-et) ad ki. A hiba attól még nem tűnik el nálad: csak akkor szűnik meg, ha telepíted a frissítést.
5. Kihasználás: ha a támadó gyorsabb, mint a javítás vagy a frissítés telepítése, a résen át adatot lophat, átveheti az irányítást, vagy megbéníthatja a rendszert. Előfordul, hogy a támadók már akkor kihasználják a hibát, amikor a gyártó még nem tud róla, vagy még nincs rá javítás. Ezt nulladik napi sebezhetőségnek hívják.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• Hibátlan rendszer nincs: a cél a gyenge pontok gyors megtalálása és javítása, mert teljesen megszüntetni őket nem lehet.
• A víruskereső és a tűzfal nem véd meg minden sebezhetőségtől, különösen az olyantól nem, amelyről még a gyártó sem tud.
• A már nem támogatott, régi eszközök és programok nem kapnak javítást, így a bennük lévő ismert hibák tartósan nyitva maradnak.
• Az AI-agentek egyes gyengeségei, például a rejtett utasításokkal való megtévesztés, nem javíthatók egyetlen frissítéssel, ezért ne adj nekik több jogosultságot a szükségesnél.

Hasonló, de nem ugyanaz

• fenyegetés – A fenyegetés az, aki vagy ami kárt okozhat (például egy csaló vagy egy kártevő), a sebezhetőség pedig a gyenge pont, amelyen keresztül ezt megteheti.
• exploit – Az exploit az a konkrét módszer vagy program, amellyel egy sebezhetőséget ki is használnak. A sebezhetőség a rossz zár, az exploit az álkulcs hozzá.
• programhiba (bug) – Nem minden programhiba sebezhetőség: csak az számít annak, amelyik biztonsági kárt tesz lehetővé, és nem pusztán bosszantó működési zavart okoz.

Kapcsolódó fogalmak

Röviden a története

A szoftverek gyenge pontjai egyidősek a számítógépes hálózatokkal: az 1988-as Morris-féreg már ilyen hibákat kihasználva terjedt. Az amerikai MITRE 1999-ben indította el a CVE-listát, amely azóta egységes azonosítót ad a nyilvánosan ismert sebezhetőségeknek.

Hol tart most

A sebezhetőségek kezelése 2026 végén a kiberbiztonság mindennapi alapfeladata. Az EU kiberrezilienciáról szóló rendelete (Cyber Resilience Act) alapján 2026. szeptember 11-től a digitális termékek gyártóinak gyorsan, első lépésben 24 órán belül jelezniük kell a hatóságoknak a termékeikben aktívan kihasznált sebezhetőségeket. Az AI kétfelől is formálja a területet: az agentek gyorsítják a hibák felkutatását, miközben maguk is új, nehezen javítható gyenge pontokat hoznak.

Állapot: 2026. november

A hírekben

• Az MI-agentek biztonsága: kill switch, 948 Linux-sebezhetőség és a brit kiberfőnök figyelmeztetése2026. nov. 2. · Agent Age
• Münchenben dőlhet el az európai félvezetőipar iránya november 10–13-án2026. okt. 30. · Ipar
• Az AI-os hibajelentések elárasztják a karbantartókat; az OpenAI tanácsot ad, a Firedancer díjat kér2026. okt. 27. · Kód
• AI által felfedezett kritikus PHP-hibák miatt kormányzati weboldalak álltak le2026. okt. 26. · Kód
• A vezetők több mint fele nehezebben értékeli a beosztottak AI-val készült munkáját2026. okt. 19. · Munka és HR
• AI-talált hibák áradata: az OpenAI ötlépcsős közzétételi tervet vázolt fel2026. okt. 19. · Kód
• AI-kód és gépi identitások: szakértők szerint nő a biztonsági rés2026. okt. 19. · Kód
• GitHub AI Scan már PHP-t is vizsgál, agent alakítja PR-ré a sérülékenységeket2026. okt. 19. · Kód

Más nevei

sebezhetőség · sérülékenység · biztonsági rés · biztonsági hiba · gyenge pont · vulnerability · security flaw · CVE

Források

• NIST Computer Security Resource Center – Glossary: vulnerability
• CVE Program – hivatalos oldal
• Wikipedia – Vulnerability (computer security)

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.