Beställningen är den lätta biten. Det svåra är att vara redo när rapporten landar.
Beställningen är den lätta biten
Att skriva under en offert tar en eftermiddag. Att faktiskt laga det testet hittar tar längre. Veracode mäter varje år hur lång tid det tar att laga brister i riktig kod. Snittet har gått från 171 dagar 2020 till 252 dagar 2025.[01]
252 dagar
genomsnittlig tid för att laga en brist i kod under 2025, upp från 171 dagar 2020. Rapporten hinner bli gammal innan listan hinner bli kort.[01]
Det är inte ett argument mot att beställa ett test. Det är ett argument för att beställa på ett sätt som gör listan kort från början.
Vad en AI-agent faktiskt hittar
En AI-agent hittar bredare och snabbare än en människa hinner ensam. I DARPA:s AI Cyber Challenge hittade de tävlande systemen 54 inplanterade sårbarheter och 18 äkta sårbarheter i riktig öppen källkod. Bredden är inte problemet.[02]
En oberoende utvärdering av flera AI-arkitekturer i realistiska testscenarier fann att de blir bättre på komplexa uppgifter i flera steg, men också att de misslyckas i återkommande mönster. Det är därför bredden i sig inte är beviset.[03]
Problemet är vad bredden gör med kön. Fler fynd som inte är bevisade eller prioriterade är inte ett bättre test, det är en längre lista att sortera. Fråga därför inte bara om en leverantör använder AI för att hitta mer. Fråga vad som händer med fyndet innan det når er.
Vad AI-agenter har hittat i verklig kod
Vad som gör en rapport möjlig att agera på
Fråga vilken metodik som används, och be om ett namn. Ramverk som OWASP:s testguide finns för att fynd ska gå att jämföra mellan uppdrag och mellan år, inte bara beskrivas i fritext.[04]
Fråga sedan hur fynden prioriteras. En lista sorterad efter allvarlighetsgrad är inte samma sak som en lista sorterad efter vad som faktiskt går att laga först. Ett team med begränsad tid behöver det senare.
- Ingår ett retest av de allvarligaste fynden i priset?
- Är fynden prioriterade efter vad som går att laga, inte bara efter allvarlighetsgrad?
- Står ett namn i rapporten, eller bara företagets?
- Vem hos er äger listan efter leverans, och har den personen tid avsatt?
En rapport på hundra rader är inte ett svar. Det är en fråga om vem som gör något med den.
Snart är det ett datum
I dag, den 11 september 2026, börjar EU:s cyberresiliensakt kräva att tillverkare av produkter med digitala delar anmäler aktivt utnyttjade sårbarheter till myndigheterna. Tidig varning inom ett dygn, slutrapport senast två veckor efter att en rättning finns.[05]
Kravet handlar inte om att hitta snabbare. Det handlar om att kunna svara snabbare. Den som redan vet vad som ligger öppet hemma har en enklare vecka än den som får veta samtidigt som en myndighet.