Pentesto finns inte för att det saknas folk som kan hitta brister. Det finns för att fynden blir liggande. En rapport som ingen hinner åtgärda är en kostnad, inte ett skydd.
Fyndet är inte problemet
Jag har skrivit de här rapporterna i flera år. Jag har också sett vad som händer med dem efteråt. En vecka efter genomgången ligger dokumentet i en mapp, och de tre allvarligaste fynden har blivit tre rader i ett ärendesystem. Det är ingen anklagelse mot någon. Det är räknesätt.
Under 2025 publicerades 48 185 nya offentliga sårbarheter. Året innan var siffran 39 962. Det är drygt tjugo procent på ett år, och ingen utvecklingsavdelning växte i den takten.[04][05]
48 185
nya offentliga sårbarheter publicerades under 2025, mot 39 962 året innan. Er egen lista är en liten del av den kurvan. Det är ändå den delen ni måste svara för.[04][05]
Cyentia Institute mätte hur mycket organisationer faktiskt hinner stänga. Svaret blev ungefär en av tio öppna brister i månaden, och det höll oavsett om företaget var stort eller litet. Kapaciteten är i praktiken given. Det enda som går att styra är vad som hamnar i kön.[03]
En rapport på hundra rader är inte information. Det är arbete ni just fick.
Kön blir en skuld
Veracode mäter varje år hur lång tid det tar att laga brister i riktig kod. Snittet har gått från 171 dagar 2020 till 252 dagar 2025. Nästan hälften av organisationerna, 49,9 procent, bär på allvarliga brister som stått öppna i minst ett år. Det kallas säkerhetsskuld, och räntan på den syns inte i någon budget.[02]
Verizons genomgång av verkliga intrång visar samma sak från andra hållet. Av de kända utnyttjade bristerna i utrustning som vetter mot internet hann omkring 54 procent lagas under året, med en mediantid på 32 dagar. Resten stod kvar. Inte för att ingen visste om dem.[01]
Små team betalar mest
Samma material visar vem som drabbas. Bland små och medelstora organisationer fanns utpressningsprogram med i 88 procent av intrången. Bland de stora var siffran 39 procent. Skillnaden är inte att de små är slarvigare. Det är att de har färre lager mellan sig och en angripare.[01]
Ett litet team har ingen säkerhetsavdelning som sorterar åt dem. De har en releasekedja, en sprint och en lista som redan är full. När rapporten landar där konkurrerar den med allt annat, och den vinner sällan. Alltså måste rapporten vara kort, prioriterad och bevisad. Annars förlorar den.
Vad maskinen faktiskt flyttade
I augusti 2025 avgjordes DARPA:s AI Cyber Challenge. De tävlande systemen hittade 54 inplanterade sårbarheter i tävlingens uppgifter och lagade 43 av dem. De hittade dessutom 18 äkta sårbarheter i riktig öppen källkod och levererade elva färdiga rättningar. Maskinerna hittade alltså inte bara. De föreslog lagningen också.[06]
Det är hela skälet till att Pentesto ser ut som det gör. Agenten tar bredden och tempot, så att den dyra tiden går till två saker. Att bevisa att fyndet håller, och att skriva ned hur det lagas. Priset sätts på omfattningen i förväg, så att ett test kan hända oftare än en gång om året.
Vad maskinen faktiskt har hittat
Maskinen gör listan lång. Människan gör den kort igen.
Snart är det ett datum
Från och med den 11 september 2026 ska tillverkare av produkter med digitala delar rapportera aktivt utnyttjade sårbarheter till EU:s myndigheter. Tidig varning inom 24 timmar, full anmälan inom 72, slutrapport senast 14 dagar efter att en rättning finns. Kravet handlar inte om att hitta. Det handlar om att kunna svara.[07]
Det gör inte kön kortare. Det gör den synlig, och nu med en klocka på. Den som redan vet vad som ligger öppet hemma får en enklare vecka än den som får veta samtidigt som alla andra.