Uit recent onderzoek van Google blijkt dat kunstmatige intelligentie (AI) een groeiend aandeel heeft in het vinden van kwetsbaarheden in software. Het aantal gerapporteerde kwetsbaarheden is sinds januari 2026 verdubbeld van ongeveer vijfduizend per maand naar bijna elfduizend in augustus. Daarnaast signaleert Google dat AI vooral ernstigere kwetsbaarheden opspoort, met name die welke code execution mogelijk maken.

Volgens Google is ongeveer de helft van de door AI ontdekte beveiligingslekken gericht op het uitvoeren van code, tegenover 26 procent bij kwetsbaarheden die zonder AI zijn gevonden. Deze focus op code execution-kwetsbaarheden wordt toegeschreven aan de werkwijze van frontier AI-agents, die bijzonder effectief zijn in het opsporen van memory corruption-kwetsbaarheden zoals buffer overflows en use-after-free fouten. Deze kwetsbaarheden kunnen aanvallers in staat stellen om schadelijke code uit te voeren.

Het gebruik van AI lijkt echter geen significante invloed te hebben op het aantal zeroday-kwetsbaarheden. In 2025 werden gemiddeld acht zeroday-lekken per maand geregistreerd, terwijl dat in de eerste acht maanden van 2026 is gestegen naar gemiddeld elf per maand. Wel is er een duidelijke toename in het misbruik van bekende kwetsbaarheden, dat bijna verdubbelde van gemiddeld 10,5 naar 18 incidenten per maand in dezelfde periode.

Google benadrukt dat het werkelijke aantal door AI ontdekte kwetsbaarheden waarschijnlijk hoger ligt, omdat veel CVE-databases niet vermelden of een lek door AI is gevonden. Bovendien worden kwetsbaarheden die door AI zijn opgespoord soms direct door grote cloud- en SaaS-providers gepatcht zonder dat er een CVE-nummer wordt aangevraagd. Google verwacht dat het aantal gevonden en misbruikte kwetsbaarheden op korte tot middellange termijn zal blijven stijgen, wat organisaties dwingt zich hierop voor te bereiden.