Hva får du når Microsoft setter mer enn 100 KI-agenter på Windows-kildekoden samtidig? Seksten ukjente sårbarheter, fire av dem kritiske remote-code-execution-feil i kjernekomponenter som IPv4-stakken og IKEEXT-tjenesten, ifølge selskapets eget Autonomous Code Security-team. Patchene gikk ut på Patch Tuesday den 12. mai, før systemet selv er åpent i privat preview.
Selve plattformen heter MDASH og orkestrerer mer enn 100 spesialiserte agenter på tvers av frontier- og distillerte modeller. Hver agent har sitt ansvar i kjeden: noen leter etter potensielle feil, andre validerer om funnene er reelle, og en tredje gruppe konstruerer inputs som faktisk reproduserer feilen før en menneskelig ingeniør ser den.
«Modellen er én input. Systemet er produktet.» — Taesoo Kim, Microsoft VP for agent-basert sikkerhet
Arkitekturen er bevisst modell-agnostisk slik at Microsoft kan bytte underliggende LLM uten å bygge orkestreringen på nytt. Det skiller MDASH fra Anthropics Mythos-tilnærming, som er bygget rundt én spesifikk modellfamilie og holdt strengt restriktiv i tilgang. MDASH går ut til enterprise-kunder i privat preview i juni og scoret 88,45 prosent på den offentlige CyberGym-benchmarken for sårbarhets-reproduksjon, øverst på leaderboarden ved publisering.
De to andre kritiske CVE-ene gjelder Netlogon og Windows DNS Client (begge CVSS 9.8), pluss tolv «Important»-graderte feil i komponenter som tcpip.sys, http.sys, ikeext.dll og telnet.exe. Du har sannsynligvis allerede installert patchene, men det er verdt å verifisere at automatisk oppdatering kjørte uten feil i miljøet ditt.
Hva bør du gjøre?
- Verifiser at maskinene dine fikk Patch Tuesday-oppdateringene fra 12. mai. CVE-2026-33827 (use-after-free i IPv4-stakken) er reachable uautentisert via spesielle pakker.
- Sett VPN-tjenester med RRAS, DirectAccess eller Always-On VPN øverst på prioritetslisten, siden CVE-2026-33824 i IKEEXT rammer disse spesifikt.
- Vurder å søke om enterprise preview-tilgang til MDASH i juni hvis du eier kritisk Windows-stack; tidlig tilgang gir sjansen til å skanne egen kode før motparten gjør det offensivt.