7 अप्रैल, 2026 को Anthropic द्वारा 'प्रोजेक्ट ग्लासविंग' की घोषणा ने साइबर सुरक्षा की दुनिया को हिलाकर रख दिया। इनके AI मॉडल Claude Mythos ने हजारों ऐसी उच्च-गंभीरता वाली खामियों का पता लगाया जो दशकों तक मानवीय समीक्षा और स्वचालित परीक्षणों से बची रहीं। चौंकाने वाली बात यह है कि इनमें से 1% से भी कम को पूरी तरह से पैच किया गया था। यह समस्या पैच प्रबंधन की नहीं, बल्कि 'पैच फिजिक्स' की है—आप मशीन की गति से होने वाली खोज का मुकाबला मानवीय समय के चक्र से नहीं कर सकते।

आंकड़े बताते हैं कि 2018 में भेद्यता (vulnerability) के खुलासे और पहले हमले के बीच का समय 771 दिन था, जो 2024 तक घटकर मात्र 4 घंटे रह गया। कुछ मामलों में तो यह 'नेगेटिव-वन डे' तक पहुंच गया है, जिसका अर्थ है कि पैच सार्वजनिक होने से पहले ही हमलावर उसका फायदा उठा रहे हैं। Indusface के अनुसार, जहां हमले की गति 5 दिन से कम है, वहीं समाधान में 60 दिन से अधिक का समय लगता है।

यह क्यों महत्वपूर्ण है (Why This Matters)

BozokMedia विश्लेषण से पता चलता है कि पारंपरिक रूप से सुरक्षा टीमें CVSS (Common Vulnerability Scoring System) के आधार पर 9 और 10 स्कोर वाली खामियों को पहले ठीक करती हैं। लेकिन यह दृष्टिकोण त्रुटिपूर्ण है। 2025 में, 28% सफल हमलों में मध्यम CVSS स्कोर वाली खामियों का उपयोग किया गया था। हमलावर अलग-अलग खामियों को नहीं देखते, बल्कि वे एक 'किल चेन' (Kill Chain) बनाते हैं। यदि एक मध्यम-स्तर की खामी उन्हें आपके मुख्य डेटाबेस तक ले जा रही है, तो वह किसी अलग-थलग सर्वर पर मौजूद 'क्रिटिकल' खामी से कहीं अधिक खतरनाक है।

"केवल CVSS स्कोर के आधार पर प्राथमिकता तय करने वाले संगठन सबसे कम सटीक और असुरक्षित होते हैं।"

समाधान 'चेकलिस्ट' से हटकर 'चेन' (Chain) के बारे में सोचने में है। सुरक्षा टीमों को अब ग्राफ-आधारित पाथ मॉडलिंग अपनानी चाहिए। इसमें पर्यावरण को एक निर्देशित ग्राफ के रूप में देखा जाता है, जहां नोड्स संपत्तियों का प्रतिनिधित्व करते हैं और किनारे उनके बीच के रास्तों का। लक्ष्य यह खोजना है कि वह कौन सा एक 'चोक-पॉइंट' (Choke-point) है जिसे हटाने से हमलावर के सबसे अधिक रास्ते बंद हो जाएं।

विशेषता	पारंपरिक पैचिंग (Checklist)	चेन-आधारित पैचिंग (Chain Thinking)
प्राथमिकता का आधार	CVSS स्कोर (9, 10)	अटैक पाथ और एसेट वैल्यू
दृष्टिकोण	रैखिक (Linear)	ग्राफ-आधारित (Graph-based)
मुख्य लक्ष्य	सूची को साफ करना	महत्वपूर्ण संपत्तियों को सुरक्षित करना

अक्सर पूछे जाने वाले प्रश्न (FAQ)

प्रश्न 1: CVSS स्कोर अब पर्याप्त क्यों नहीं हैं?
उत्तर: क्योंकि CVSS केवल एक अमूर्त लक्ष्य पर अधिकतम प्रभाव को मापता है, यह इस बात पर विचार नहीं करता कि वह खामी आपके विशिष्ट नेटवर्क में हमलावर के लिए कितना उपयोगी रास्ता बनाती है।

प्रश्न 2: चोक-पॉइंट पैचिंग क्या है?
उत्तर: यह उन विशिष्ट कमजोरियों को ठीक करने की प्रक्रिया है जो हमलावर के कई संभावित रास्तों के मिलन बिंदु (Intersection) पर स्थित होती हैं, जिससे एक ही पैच से कई हमले रुक जाते हैं।