72 minuter till stulen data.Sedan tar lagningen månader.

Det här är inte en text om att ni testar för sällan. Det är en text om två klockor som går olika fort, och om vilken av dem ni faktiskt kan göra något åt.

Verizon ger varje år ut en av branschens mest citerade sammanställningar av verkliga dataintrång. I 2026 års upplaga konstaterar de att nästan en tredjedel, 31 procent, av alla intrång börjar med att någon utnyttjar en känd säkerhetsbrist. Det är första gången på rapportens nitton år som den vägen går om stulna inloggningsuppgifter.[01]

Mandiant, som utreder intrång åt drabbade företag, ser samma sak. Utnyttjade sårbarheter står för 32 procent av intrången, och har varit den vanligaste vägen in sex år i rad.[02]

Dagens intrång är sällan en person vid ett tangentbord. Det är en kedja av specialiserade grupper som säljer vidare till varandra, och den kedjan har blivit extremt snabb.

Palo Alto Networks utredde över 750 större incidenter i mer än 50 länder under 2025. I den snabbaste fjärdedelen tog det 72 minuter från att någon tagit sig in tills data var på väg ut ur organisationen. Det är fyra gånger snabbare än året innan.[03]

Och vägen dit är automatiserad. När en allvarlig brist i utvecklingsverktyget TeamCity offentliggjordes 2024 publicerade ett säkerhetsföretag en färdig demonstration av hur den kunde utnyttjas. Cloudflare såg det första riktiga angreppsförsöket 22 minuter senare.[04]

Ibland startar klockan innan bristen ens är känd. Företaget GreyNoise, som mäter skanningstrafik på internet, visade 2025 att när angriparaktiviteten mot en viss produkt plötsligt ökar så följer en ny publicerad sårbarhet i samma produkt inom sex veckor i 80 procent av fallen. Aktiviteten kom först.[05]

Mot 22 sekunder och 72 minuter står siffror i en helt annan enhet. En genomgång av verkliga miljöer visar att den snabbaste branschen, mjukvara, i snitt behövde 63 dagar för att åtgärda en brist. Den långsammaste, bygg, behövde 104. Större organisationer hade fortfarande 45,4 procent av allt de upptäckt olagat efter tolv månader.[06]

Dra inte slutsatsen för långt. Att laga tar tid av goda skäl. Ändringen ska testas så att den inte går sönder på annat håll, den ska ut i en release, och ibland väntar man på att en leverantör ska rätta sin egen produkt först. Inget säkerhetstest gör den tiden kortare.

I november 2025 publicerade AI-leverantören Anthropic en genomgång av vad de bedömer som den första spionagekampanj där en AI skötte merparten av arbetet. Ungefär 30 mål globalt, 80 till 90 procent av arbetet utfört av AI:n, och bara fyra till sex tillfällen där en människa behövde fatta beslut. När det gick som snabbast skickades tusentals förfrågningar, ofta flera per sekund.[07]

Det förändrar inte vilka brister som finns i er applikation. Det förändrar hur lång tid ni har på er innan någon annan hittar dem.

Den ärliga slutsatsen är inte att ni ska testa oftare för att det låter klokt. Den är att vad ett test kostar avgör hur ofta ni har råd att göra det, och kostnaden är det enda i hela den här texten som är en teknikfråga.

Ett helt manuellt uppdrag som tar veckor har de flesta råd med en gång om året. Går samma djup att leverera på dagar blir frekvensen en budgetfråga i stället för en kalenderfråga. Det är därför vi bygger som vi gör. AI:n står för bredden och takten, pentestaren för riktningen och ansvaret, och priset sätts på hur stort uppdraget är i stället för på antal timmar.