Sonatype veröffentlicht, verfasst von seiner technical writer Aaron Linskens, eine Zusammenfassung einer Längsschnittstudie seiner Research Labs über neunundvierzig Monate, von Juni 2022 bis Juni 2026. Die Methode wird vorab genannt: eine feste Kohorte von Anwendungen wird kontinuierlich verfolgt, sodass die gemessenen Veränderungen die Entwicklung der Softwareflotte widerspiegeln und nicht die des Kundenportfolios. Das zentrale Ergebnis wird als Widerspruch dargestellt: Organisationen beheben Schwachstellen schneller als zuvor, doch ihre Anwendungen häufen mehr Risiko an.
Vier Kennzahlen rahmen den Befund. Critical- und High-Schwachstellen pro Anwendung wurden mit 4,31 multipliziert und stiegen von durchschnittlich 14,14 im Juni 2022 auf 54,3 im Jahr 2026; der Effekt wird nicht allein von Legacy-Anwendungen getrieben, denn ohne kürzlich neu unter Verwaltung gebrachte Legacy-Anwendungen bleibt immer noch ein Faktor von 3,91. Neu betroffene Komponentenversionen schreiten mit dem Sechsundvierzigfachen der Rate vor der KI-Ära voran. Das mediane Alter von Schwachstellen ist seit seinem Höchststand im Januar 2024 um 59 % gesunken. Schließlich wurde die durchschnittliche monatliche Erstellung von Anwendungen mit 4,84 multipliziert, und mit ihr die Abhängigkeitsentscheidungen.
Der Fortschritt bei der Behebung ist real: Mehr als die Hälfte der behobenen Verstöße wird in weniger als einem Tag behoben, und das mediane Alter ungelöster Critical/High-Schwachstellen sinkt von 228 auf 126 Tage, dann im Mai 2026 auf 103 Tage. Unter Kohorten mit mindestens zwölf Monaten Handlungszeit sind 52,6 % behoben, 44,3 % bleiben offen, und 3,1 % stehen unter Waiver.
Die vorgeschlagene Verschiebung betrifft die vorgelagerte Stufe. Die Forscher untersuchten die anfälligen Abhängigkeiten, die in die Anwendungen des Zeitraums eingeflossen sind, und stellten eine einfache Frage: Existierte zum Zeitpunkt der Auswahl bereits eine deutlich weniger riskante Version? Die Antwort lautet Ja in 62,2 % der Fälle bei Maven, 46,9 % bei npm und 34,3 % bei PyPI. Der Text lehnt es ab, dies als Fehler der Entwickler zu deuten: Manche Schwachstellen sind unvermeidlich, andere entstehen aus einer Informationslücke zum Zeitpunkt der Wahl — ein Punkt, der heikel wird, wenn ein KI-Assistent eine Komponente in Sekunden einführen kann, ohne über aktuelle Erkenntnisse zu deren Risiko und zur organisatorischen Richtlinie zu verfügen.
Der Beitrag räumt ein, dass KI nicht die alleinige Ursache der wachsenden Schwachstellenlandschaft ist, und nennt vier konkurrierende Faktoren. Er schließt mit Sonatype Guide, das diese Intelligenz an den Punkt der Auswahl bringt, und verweist für die zugrunde liegenden Daten auf den vollständigen Bericht The AI-Era Software Assembly Line.