Scanners find more holes than teams can fix. Today, tools rank them, bots propose the updates, and AI writes fixes in your own code for a person to review. That can shorten the time a known hole stays open. It also adds new ways for things to go wrong. How it actually works, and four things that decide whether it helps. Scanners vinden meer gaten dan teams kunnen dichten. Tegenwoordig rangschikken tools ze, stellen bots de updates voor, en schrijft AI fixes in uw eigen code, die een mens dan beoordeelt. Dat kan de tijd verkorten dat een bekend gat openstaat. Het voegt ook nieuwe manieren toe waarop het misgaat. Hoe het echt werkt, en vier dingen die bepalen of het helpt.
Automated remediation is a chain. A scanner finds a known hole, a CVE, in your code, its libraries or your servers. A ranking puts the dangerous ones first. Two public lists help: CISA's KEV catalogue of holes already being exploited, and the EPSS score. A bot or an AI then writes the fix as a proposed change, a pull request. The pipeline tests it, a person approves it, and it goes live.
Business impact: the tools are good at the middle of the chain. Many fixes are a newer version of a library, and bots such as Dependabot and Renovate propose those by themselves. AI now also writes fixes in your own code. But a proposed fix protects nothing until it runs in production. Holes in devices or old systems without a fix stay outside the chain altogether. The number worth asking for is days from fix available to fix deployed, not the count of fixes proposed.
Geautomatiseerd herstel is een keten. Een scanner vindt een bekend gat, een CVE, in uw code, de bibliotheken ervan of uw servers. Een rangschikking zet de gevaarlijke vooraan. Twee openbare lijsten helpen: de KEV-catalogus van CISA met gaten die al worden misbruikt, en de EPSS-score. Een bot of een AI schrijft dan de fix als voorgestelde wijziging, een pull request. De pipeline test hem, een mens keurt hem goed, en hij gaat live.
Bedrijfsimpact: de tools zijn goed in het midden van de keten. Veel fixes zijn een nieuwere versie van een bibliotheek, en bots als Dependabot en Renovate stellen die vanzelf voor. AI schrijft nu ook fixes in uw eigen code. Maar een voorgestelde fix beschermt niets tot hij in productie draait. Gaten in apparaten of oude systemen zonder fix vallen helemaal buiten de keten. Het getal om naar te vragen is het aantal dagen van fix beschikbaar tot fix uitgerold, niet het aantal voorgestelde fixes.
Attackers can use the same AI tools to find holes. That makes the speed of your chain, not the size of your backlog, the measure that counts.Aanvallers kunnen dezelfde AI-tools gebruiken om gaten te vinden. Dan telt de snelheid van uw keten, niet de omvang van uw achterstand.
A dashboard full of AI-proposed fixes can look like progress while little reaches production.Een dashboard vol door AI voorgestelde fixes kan op vooruitgang lijken terwijl weinig de productie haalt.
In DARPA's AI Cyber Challenge final (Aug 2025), AI systems found 86% of the planted flaws and patched 68% of all of them (43 of 63), in about 45 minutes on average. A competition, not your estate.In de finale van DARPA's AI Cyber Challenge (aug 2025) vonden AI-systemen 86% van de geplante fouten en dichtten er 68% van, van alle geplante fouten (43 van 63), gemiddeld in zo'n 45 minuten. Een wedstrijd, niet uw omgeving.
AI tools now read a scanner's finding and write the code change that should close it. GitHub's Copilot Autofix is one example: it suggests a fix, with an explanation, for alerts from GitHub's code scanner. GitHub's own documentation is frank about the limits. The model can give different fixes for the same alert. A fix can fail to close the hole, or introduce a new one. GitHub tells users to review every suggestion, and to check that the tests pass and the alert is resolved before merging.
Business impact: treat an AI fix like code from a fast, confident new colleague. It often helps, and it deserves the same review and tests as any other change. The risk is a team that approves AI fixes faster than human ones, because there are so many and they look tidy. Good tests show that a fix changed nothing else. A fresh scan shows that the hole is really gone.
AI-tools lezen nu de bevinding van een scanner en schrijven de codewijziging die het gat moet dichten. Copilot Autofix van GitHub is een voorbeeld: het stelt een fix voor, met uitleg, bij meldingen van de codescanner van GitHub. De eigen documentatie van GitHub is eerlijk over de grenzen. Het model kan voor dezelfde melding verschillende fixes geven. Een fix kan het gat niet dichten, of een nieuw gat openen. GitHub zegt gebruikers elke suggestie te beoordelen, en vóór het samenvoegen te controleren dat de tests slagen en de melding is opgelost.
Bedrijfsimpact: behandel een AI-fix als code van een snelle, zelfverzekerde nieuwe collega. Hij helpt vaak, en verdient dezelfde review en tests als elke andere wijziging. Het risico is een team dat AI-fixes sneller goedkeurt dan menselijke, omdat het er zoveel zijn en ze er netjes uitzien. Goede tests laten zien dat een fix verder niets veranderde. Een nieuwe scan laat zien dat het gat echt weg is.
A fix that only silences the scanner leaves the hole open for anyone who tests it by hand, or with their own AI.Een fix die alleen de scanner stillegt, laat het gat open voor iedereen die het met de hand test, of met een eigen AI.
Under backlog pressure, teams can start approving AI fixes in bulk. Review becomes a click, not a check.Onder druk van de achterstand kunnen teams AI-fixes in bulk gaan goedkeuren. Review wordt een klik, geen controle.
A second tool can rescan the changed code and flag behaviour the tests did not cover. A person still decides.Een tweede tool kan de gewijzigde code opnieuw scannen en gedrag aanwijzen dat de tests niet dekten. Een mens beslist nog steeds.
Bots that update libraries are among the most effective controls there are. Dependabot, for example, opens a pull request that moves a vulnerable library to the lowest fixed version. Many teams then switch on auto-merge, a separate setting, so tested updates go live without a person. That speed cuts both ways. In September 2025, CISA reported a self-spreading worm, Shai-Hulud, that had compromised over 500 packages on npm. A team that takes in every new release within minutes can also take in a poisoned one.
Business impact: the answer is not to switch the bots off. CISA's own advice included turning on Dependabot security updates. What helps is a short pause for routine updates and a person on the merge for anything risky. Dependabot and Renovate can both wait a set number of days before proposing a new release, which gives others time to spot a bad one. Dependabot's pause does not apply to security updates, so those still rely on tests and review.
Bots die bibliotheken bijwerken, horen bij de effectiefste maatregelen die er zijn. Dependabot opent bijvoorbeeld een pull request dat een kwetsbare bibliotheek naar de laagste gedichte versie brengt. Veel teams zetten daarna auto-merge aan, een aparte instelling, zodat geteste updates zonder mens live gaan. Die snelheid snijdt aan twee kanten. In september 2025 meldde CISA een zichzelf verspreidende worm, Shai-Hulud, die meer dan 500 pakketten op npm had besmet. Een team dat elke nieuwe versie binnen minuten overneemt, kan ook een vergiftigde overnemen.
Bedrijfsimpact: de oplossing is niet de bots uit te zetten. Het eigen advies van CISA was onder meer om Dependabot-beveiligingsupdates aan te zetten. Wat helpt, is een korte pauze voor gewone updates en een mens bij het samenvoegen van alles wat riskant is. Dependabot en Renovate kunnen allebei een ingesteld aantal dagen wachten voordat ze een nieuwe versie voorstellen, zodat anderen tijd hebben een slechte te ontdekken. De pauze van Dependabot geldt niet voor beveiligingsupdates; die leunen dus nog steeds op tests en review.
Attackers can use AI to dress malicious code up as a routine update, so a quick glance lets it through.Aanvallers kunnen kwaadaardige code met AI vermommen als gewone update, zodat een snelle blik hem doorlaat.
An AI agent told to clear the backlog can widen the auto-merge rules to hit its target, unless it cannot change them.Een AI-agent die de achterstand moet wegwerken, kan de regels voor auto-merge verruimen om zijn doel te halen, tenzij hij ze niet kan wijzigen.
AI can read what a new version really changes, such as new install scripts or network calls, and hold odd ones for a person.AI kan lezen wat een nieuwe versie echt verandert, zoals nieuwe installatiescripts of netwerkverkeer, en vreemde tegenhouden voor een mens.
The newest tools go further. An AI agent picks up a ticket, writes the fix, runs the tests and opens the change for review. To do that it needs access to code, and often to the pipeline and its secrets. Agents act on what they read, so a sentence hidden in a ticket or a code comment can steer one. That is called prompt injection. Vendors build guardrails. GitHub's Copilot cloud agent, for example, pushes only to its own branch and cannot approve or merge its own pull request. The person who asked for the change cannot approve it either, and by default its tests wait until someone has reviewed the code.
Business impact: an agent's access is the blast radius of one bad instruction. The safe pattern is that the agent proposes and a person merges, with branch protection that the agent cannot change. We suggest giving each agent a narrow token for one repository, not a key to everything. It is worth asking your suppliers the same question about the agents they use on your code.
De nieuwste tools gaan verder. Een AI-agent pakt een ticket op, schrijft de fix, draait de tests en biedt de wijziging aan voor review. Daarvoor heeft hij toegang nodig tot code, en vaak tot de pipeline en de geheimen daarin. Agents handelen naar wat ze lezen, dus een zin die verstopt zit in een ticket of codecommentaar kan er een sturen. Dat heet prompt injection. Leveranciers bouwen vangrails. De Copilot cloud agent van GitHub pusht bijvoorbeeld alleen naar zijn eigen branch, en kan zijn eigen pull request niet goedkeuren of samenvoegen. Wie om de wijziging vroeg, kan hem ook niet goedkeuren, en standaard wachten de tests tot iemand de code heeft beoordeeld.
Bedrijfsimpact: de toegang van een agent is de schaderadius van één slechte opdracht. Het veilige patroon is dat de agent voorstelt en een mens samenvoegt, met branchbeveiliging die de agent niet kan wijzigen. Wij raden aan elke agent een smal token te geven voor één repository, geen sleutel tot alles. Het is de moeite waard uw leveranciers dezelfde vraag te stellen over de agents die zij op uw code gebruiken.
Attackers can plant instructions in public issues, documentation or libraries, hoping a fixing agent reads them.Aanvallers kunnen opdrachten verstoppen in openbare issues, documentatie of bibliotheken, in de hoop dat een herstelagent ze leest.
An agent given broad rights to "fix everything" can change things nobody asked for, at machine speed.Een agent met ruime rechten om "alles te fixen" kan dingen veranderen waar niemand om vroeg, op machinesnelheid.
Every action an agent takes can be logged and reviewed, by people and by other tools. That record is your evidence.Elke actie van een agent kan worden vastgelegd en beoordeeld, door mensen en door andere tools. Dat spoor is uw bewijs.
| Control | Addresses | In one line |
|---|---|---|
| Rank by exploitation | How it works (01) | Fix first what is being exploited (KEV) or likely to be (EPSS), on internet-facing systems first. Severity alone marks too much as urgent. |
| Measure to deployment | How it works (01) | Days from fix available to fix in production, per exposure. Not the number of fixes proposed. |
| Same review for AI fixes | The AI fix (02) | AI-written changes get the same review, tests and rescan as human ones. No bulk approvals. |
| Pause for routine updates | Auto-merge (03) | A few days' wait before routine version updates are proposed. Security updates move faster, with tests. |
| Auto-merge with limits | Auto-merge (03) | Only low-risk updates that pass all tests merge without a person. Everything else waits for review. |
| Agent proposes, a person merges | Agents (04) | Branch protection the agent cannot change, a required human approval, and a narrow token per repository. |
| Owner for what falls outside | All four | Devices, old systems and suppliers with no automatic fix keep a named owner and a deadline. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Rangschik op misbruik | Hoe het werkt (01) | Dicht eerst wat al wordt misbruikt (KEV) of waarschijnlijk wordt (EPSS), en eerst op systemen aan internet. Alleen op ernst rangschikken maakt te veel urgent. |
| Meten tot uitgerold | Hoe het werkt (01) | Dagen van fix beschikbaar tot fix in productie, per blootstelling. Niet het aantal voorgestelde fixes. |
| Zelfde review voor AI-fixes | De AI-fix (02) | Door AI geschreven wijzigingen krijgen dezelfde review, tests en herscan als menselijke. Geen goedkeuring in bulk. |
| Pauze voor gewone updates | Auto-merge (03) | Een paar dagen wachten voordat gewone versie-updates worden voorgesteld. Beveiligingsupdates gaan sneller, met tests. |
| Auto-merge met grenzen | Auto-merge (03) | Alleen updates met laag risico die alle tests halen, worden zonder mens samengevoegd. De rest wacht op review. |
| Agent stelt voor, mens voegt samen | Agents (04) | Branchbeveiliging die de agent niet kan wijzigen, een verplichte menselijke goedkeuring, en een smal token per repository. |
| Eigenaar voor wat erbuiten valt | Alle vier | Apparaten, oude systemen en leveranciers zonder automatische fix houden een benoemde eigenaar en een deadline. |
Update bots are common and AI fixes are spreading. Each adds speed, and with it the chance that a bad change goes through unchecked.Updatebots zijn gangbaar en AI-fixes worden vaker gebruikt. Elk voegt snelheid toe, en daarmee de kans dat een slechte wijziging ongecontroleerd doorgaat.
A poisoned update, or an agent misled into a bad change, runs with the access of your pipeline, often all the way to production.Een vergiftigde update, of een agent die tot een slechte wijziging is verleid, draait met de rechten van uw pipeline, vaak tot in productie.
With ranking, review, a pause for routine updates and agents that only propose, automation closes holes faster without opening new ones.Met rangschikking, review, een pauze voor gewone updates en agents die alleen voorstellen, dicht automatisering gaten sneller zonder nieuwe te openen.
Owns the bots, the agents and the merge rules. The CISO sets the deadlines and checks the numbers.Is eigenaar van de bots, de agents en de regels voor samenvoegen. De CISO stelt de deadlines en controleert de getallen.
Median days from fix available to fix deployed, for internet-facing systems · share of automated changes merged without human review · known-exploited holes open past their deadline · bots and agents with write access beyond one repository.Mediaan aantal dagen van fix beschikbaar tot fix uitgerold, voor systemen aan internet · aandeel geautomatiseerde wijzigingen samengevoegd zonder menselijke review · al misbruikte gaten die na hun deadline nog openstaan · bots en agents met schrijfrechten buiten één repository.
“Automated or AI-written fixes are merged without adequate review, or an update bot or AI agent is misled into deploying a malicious or faulty change, so that a known hole stays open or a new one is introduced, which can lead to a breach and a notifiable incident.”“Geautomatiseerde of door AI geschreven fixes worden zonder voldoende review samengevoegd, of een updatebot of AI-agent wordt verleid tot het uitrollen van een kwaadaardige of foute wijziging, zodat een bekend gat openblijft of een nieuw gat ontstaat, wat kan leiden tot een inbraak en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 Art. 21(2) requires measures that include supply chain security (d) and vulnerability handling in development and maintenance (e). Automation is your choice; being able to show how fixes are found, approved and deployed is what counts. The Cyberbeveiligingswet has been in force since 15 August 2026. | Ask how fast they deploy fixes, what their bots and agents can merge without a person, and how a bad update is caught. Under the CRA, makers report actively exploited vulnerabilities from 11 September 2026. From 11 December 2027 they must also fix vulnerabilities without delay and offer security updates, automatic by default where applicable. | A breach through an unfixed hole or a poisoned update can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | The RTS (EU) 2024/1774 Art. 10 requires automated vulnerability scanning, at least weekly for assets behind critical or important functions. It also requires tracking third-party libraries, finding patches with automated tools where possible, testing them before deployment, and deadlines with escalation. DORA has applied since 17 January 2025. | For ICT providers, the RTS requires you to check that they handle vulnerabilities and report at least the critical ones to you in a timely manner. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | If you issue one: vulnerability and change management are tested over a period. Changes written by bots or AI are still changes, and auditors look for review and approval. | Check that the build pipeline and its bots are in scope, and read the exceptions on change approval. | A bad change merged without review will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Automated fixes appear through change management, where the systems support the financial process. | Read the change-management control objectives. If automated changes are not mentioned, ask in the contract how they are approved. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 art. 21 lid 2 vereist maatregelen waaronder beveiliging van de toeleveringsketen (d) en de behandeling van kwetsbaarheden bij ontwikkeling en onderhoud (e). Automatiseren is uw keuze; kunnen laten zien hoe fixes worden gevonden, goedgekeurd en uitgerold, is wat telt. De Cyberbeveiligingswet is van kracht sinds 15 augustus 2026. | Vraag hoe snel zij fixes uitrollen, wat hun bots en agents zonder mens kunnen samenvoegen, en hoe een slechte update wordt onderschept. Onder de CRA melden makers actief misbruikte kwetsbaarheden vanaf 11 september 2026. Vanaf 11 december 2027 moeten zij kwetsbaarheden ook zonder uitstel verhelpen en beveiligingsupdates bieden, waar van toepassing standaard automatisch. | Een inbraak via een niet-gedicht gat of een vergiftigde update kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | De RTS (EU) 2024/1774 art. 10 vereist geautomatiseerd scannen op kwetsbaarheden, minstens wekelijks voor middelen achter kritieke of belangrijke functies. Ook vereist het bijhouden van bibliotheken van derden, patches waar mogelijk met geautomatiseerde tools opsporen, ze testen vóór uitrol, en deadlines met escalatie. DORA geldt sinds 17 januari 2025. | Bij ICT-leveranciers vereist de RTS dat u controleert of zij kwetsbaarheden behandelen en u ten minste de kritieke tijdig melden. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Als u er zelf een afgeeft: kwetsbaarheids- en wijzigingsbeheer worden over een periode getest. Wijzigingen door bots of AI blijven wijzigingen, en auditors zoeken naar review en goedkeuring. | Controleer of de buildpipeline en de bots erin binnen scope vallen, en lees de afwijkingen bij goedkeuring van wijzigingen. | Een slechte wijziging die zonder review is samengevoegd, komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Geautomatiseerde fixes komen in beeld via wijzigingsbeheer, waar de systemen het financiële proces ondersteunen. | Lees de beheersdoelstellingen voor wijzigingsbeheer. Worden geautomatiseerde wijzigingen niet genoemd, vraag dan in het contract hoe ze worden goedgekeurd. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: GitHub Docs on Copilot Autofix, Dependabot security updates, Dependabot cooldown and Copilot cloud agent risks (Oct 2026), Renovate minimumReleaseAge (Oct 2026), CISA KEV (Oct 2026), FIRST EPSS (Oct 2026), CISA on Shai-Hulud (Sep 2025), DARPA AIxCC results (Aug 2025), NIS2 Art. 21 and 23, RTS (EU) 2024/1774 Art. 10, RTS (EU) 2025/301 on reporting time limits, CRA (EU) 2024/2847 Art. 71 and Annex I, NCSC-NL (Aug 2026) · October 2026.
Gecontroleerd tegen: GitHub Docs over Copilot Autofix, Dependabot-beveiligingsupdates, Dependabot-cooldown en risico's van de Copilot cloud agent (okt 2026), Renovate minimumReleaseAge (okt 2026), CISA KEV (okt 2026), FIRST EPSS (okt 2026), CISA over Shai-Hulud (sep 2025), DARPA AIxCC-resultaten (aug 2025), NIS2 art. 21 en 23, RTS (EU) 2024/1774 art. 10, RTS (EU) 2025/301 over meldtermijnen, CRA (EU) 2024/2847 art. 71 en bijlage I, NCSC (aug 2026) · oktober 2026.