इस बारे में गहन रिसर्च कि कैसे CVE पैटर्न्स, कोड कमिट्स, और थ्रेट इंटेलिजेंस पर ट्रेन्ड ML मॉडल्स डिस्क्लोज़र से पहले ज़ीरो-डे वल्नरेबिलिटीज़ की भविष्यवाणी कर रहे हैं — एक्युरेसी मेट्रिक्स, आर्किटेक्चर, और Microsoft, Google, और अन्य द्वारा रियल-वर्ल्ड एडॉप्शन।
दशकों से, साइबरसिक्योरिटी इंडस्ट्री एक फ़ंडामेंटली रिएक्टिव मॉडल पर काम करती रही है: एक वल्नरेबिलिटी खोजें, एक पैच लिखें, इसे डिप्लॉय करें, उम्मीद करें कि अटैकर्स ने पहले से इसे एक्सप्लॉइट नहीं किया है। वाइल्ड में ज़ीरो-डे एक्सप्लॉइटेशन और पैच एवेलेबिलिटी के बीच का औसत समय अब भी मंडराता है 28 दिनों के आसपास 2026 में, Mandiant की लेटेस्ट थ्रेट रिपोर्ट के अनुसार। उस विंडो के दौरान, ऑर्गनाइज़ेशंस उस स्पेसिफ़िक अटैक वेक्टर के ख़िलाफ़ प्रभावी रूप से डिफ़ेंसलेस होते हैं।
लेकिन एक पैराडाइम शिफ़्ट चल रही है। हिस्टॉरिकल वल्नरेबिलिटी डेटा, सोर्स कोड रिपॉज़िटरीज़, और रियल-टाइम थ्रेट इंटेलिजेंस फ़ीड्स पर ट्रेन्ड मशीन लर्निंग मॉडल्स अब यह क्षमता दिखा रहे हैं भविष्यवाणी करने की कि ज़ीरो-डेज़ कहां उभरने की संभावना है — कभी-कभी किसी ह्यूमन रिसर्चर या ऑटोमेटेड फ़ज़र द्वारा असली बग खोजे जाने से हफ़्तों या महीनों पहले। यह साइंस फ़िक्शन नहीं है। यह प्रोडक्शन-ग्रेड टेक्नोलॉजी है जो आज दुनिया के कुछ सबसे बड़े सिक्योरिटी ऑपरेशंस के अंदर चल रही है।
यह रिसर्च आर्टिकल 2026 में ज़ीरो-डे प्रिडिक्शन मॉडल्स की करंट स्टेट की जांच करता है: वे आर्किटेक्चर्स जो उन्हें पावर देते हैं, कौन उन्हें डिप्लॉय कर रहा है, वे वाक़ई कितने एक्युरेट हैं, और इसका डिफ़ेंडर्स और अटैकर्स दोनों के लिए क्या मतलब है।
ज़ीरो-डे प्रिडिक्शन मॉडल्स तीन प्राइमरी डेटा सोर्सेज़ पर बने हैं, हर एक अलग सिग्नल लेयर में योगदान देता है:
यह फ़ील्ड कई आर्किटेक्चरल अप्रोचेज़ पर कन्वर्ज हो गई है, जो अक्सर एन्सेम्बल कॉन्फ़िगरेशंस में इस्तेमाल होती हैं:
ट्रांसफ़ॉर्मर-बेस्ड कोड एनालिसिस (CodeBERT/VulBERTa वेरिएंट्स): फ़ाइन-ट्यून्ड लार्ज लैंग्वेज मॉडल्स जो वल्नरेबिलिटी-इंड्यूसिंग पैटर्न्स की पहचान के लिए सोर्स कोड और कमिट डिफ़्स को प्रोसेस करते हैं। ये मॉडल्स सीखते हैं कि कुछ कोड चेंजेज़ — ख़ासतौर पर वे जो बफ़र हैंडलिंग, ऑथेंटिकेशन लॉजिक, या सीरियलाइज़ेशन से जुड़े होते हैं — भविष्य की CVE फ़ाइलिंग्स के साथ सह-संबंधित होते हैं। 2026 जनरेशन इस पर ऑपरेट करती है 32K टोकन कॉन्टेक्स्ट विंडोज़, जो पूरे फ़ाइल-लेवल चेंज सेट्स के विश्लेषण की अनुमति देती है।
कोड प्रॉपर्टी ग्राफ़्स पर ग्राफ़ न्यूरल नेटवर्क्स (GNNs): ये मॉडल्स कोड को ग्राफ़्स के रूप में दर्शाते हैं जो एब्स्ट्रैक्ट सिंटैक्स ट्रीज़ (ASTs), कंट्रोल फ़्लो ग्राफ़्स (CFGs), और डेटा डिपेंडेंसी ग्राफ़्स (DDGs) को जोड़ते हैं। ग्राफ़ स्ट्रक्चर पर सीखकर, GNNs ऐसे वल्नरेबिलिटी पैटर्न्स पहचान सकते हैं जो कई फ़ंक्शंस या मॉड्यूल्स में फैले होते हैं — उस तरह के कॉम्प्लेक्स, क्रॉस-बाउंड्री बग्स जिन्हें स्टैटिक एनालाइज़र्स आमतौर पर मिस कर देते हैं।
टेम्पोरल सीक्वेंस मॉडल्स (LSTM/ट्रांसफ़ॉर्मर हाइब्रिड्स): ये स्पेसिफ़िक सॉफ़्टवेयर कंपोनेंट्स के लिए वल्नरेबिलिटी डिस्क्लोज़र्स, पैच साइकल्स, और एक्सप्लॉइट रिलीज़ेज़ के टाइम-सीरीज़ डेटा को प्रोसेस करते हैं। वे एक कोडबेस की "वल्नरेबिलिटी रिदम" को मॉडल करते हैं — यह भविष्यवाणी करते हुए कि हिस्टॉरिकल पैटर्न्स के आधार पर अगली सिग्निफ़िकेंट वल्नरेबिलिटी सांख्यिकीय रूप से कब सामने आने की संभावना है।
बेयेज़ियन नेटवर्क रिस्क मॉडल्स: प्रोबेबिलिस्टिक मॉडल्स जो कंपोनेंट-लेवल रिस्क स्कोर्स प्रोड्यूस करने के लिए सॉफ़्टवेयर कॉम्पोज़िशन एनालिसिस (SCA), डिपेंडेंसी ट्री डेप्थ, मेंटेनर एक्टिविटी सिग्नल्स, और हिस्टॉरिकल वल्नरेबिलिटी डेंसिटी को जोड़ते हैं। ये ओपन-सोर्स सप्लाई चेन्स में रिस्क की पहचान के लिए ख़ासतौर पर प्रभावी हैं।
एक प्रोडक्शन ज़ीरो-डे प्रिडिक्शन सिस्टम आमतौर पर इस पाइपलाइन को फ़ॉलो करता है:
| स्टेज | इनपुट | प्रोसेस | आउटपुट |
|---|---|---|---|
| 1. डेटा इंजेशन | Git कमिट्स, NVD फ़ीड्स, थ्रेट इंटेल | डीडुप्लीकेशन के साथ ETL पाइपलाइन | नॉर्मलाइज़्ड फ़ीचर स्टोर |
| 2. फ़ीचर एक्सट्रैक्शन | रॉ कोड, CVE रिकॉर्ड्स | कोड एम्बेडिंग्स, कॉम्प्लेक्सिटी मेट्रिक्स, CWE क्लस्टरिंग | प्रति कंपोनेंट फ़ीचर वेक्टर्स |
| 3. रिस्क स्कोरिंग | फ़ीचर वेक्टर्स | एन्सेम्बल मॉडल इंफ़रेंस (GNN + ट्रांसफ़ॉर्मर + बेयेज़ियन) | वल्नरेबिलिटी प्रोबेबिलिटी स्कोर्स |
| 4. प्रायोरिटाइज़ेशन | रिस्क स्कोर्स + एसेट कॉन्टेक्स्ट | CVSS प्रिडिक्शन, एक्सप्लॉइटेबिलिटी एस्टिमेशन | रैंक्ड अलर्ट क्यू |
| 5. वैलिडेशन | टॉप-रैंक्ड प्रिडिक्शंस | ऑटोमेटेड फ़ज़िंग, सिंबॉलिक एक्ज़ीक्यूशन | कन्फ़र्म्ड प्री-ज़ीरो-डे फ़ाइंडिंग्स |
2026 पाइपलाइंस में क्रिटिकल इनोवेशन है स्टेज 5 — ऑटोमेटेड वैलिडेशन लूप। एनालिस्ट्स को रॉ प्रिडिक्शंस दिखाने की बजाय, मॉडर्न सिस्टम्स हाई-कॉन्फ़िडेंस प्रिडिक्शंस को टारगेटेड फ़ज़िंग कैंपेन्स की ओर रूट करते हैं। अगर फ़ज़र प्रिडिक्टेड कंपोनेंट में क्रैश या अनएक्सपेक्टेड बिहेवियर कन्फ़र्म करता है, तो फ़ाइंडिंग को ML प्रिडिक्शन रैशनल और ठोस प्रूफ़-ऑफ़-कॉन्सेप्ट एविडेंस दोनों के साथ एस्केलेट किया जाता है।
प्रोडक्शन सिस्टम्स इसके बीच प्रोसेस करते हैं प्रति दिन 50,000 और 200,000 कमिट्स मॉनिटर्ड रिपॉज़िटरीज़ में। एन्सेम्बल मॉडल के लिए इंफ़रेंस लेटेंसी आमतौर पर प्रति कंपोनेंट एवैल्युएशन 200ms से कम है। कमिट से रिस्क स्कोर तक की एंड-टू-एंड पाइपलाइन इस पर ऑपरेट करती है 15-मिनट रीफ़्रेश साइकल क्रिटिकल मॉनिटर्ड सॉफ़्टवेयर के लिए, ब्रॉडर इकोसिस्टम के लिए बैच प्रोसेसिंग के साथ।
Microsoft वल्नरेबिलिटी प्रिडिक्शन में अपने निवेश के बारे में सबसे मुखर रहा है। उनका इंटरनल सिस्टम, जो पहले की "Project Bonsai" पहल से विकसित हुआ, अब Windows, Office, और Azure कोडबेसेज़ के हर कमिट को एक प्रिडिक्शन पाइपलाइन के ज़रिए प्रोसेस करता है। अपनी 2025 एन्युअल सिक्योरिटी रिपोर्ट में, MSRC ने बताया कि Patch Tuesday रिलीज़ेज़ में पैच की गई क्रिटिकल वल्नरेबिलिटीज़ में से 17% पहली बार उनके ML प्रिडिक्शन सिस्टम द्वारा पहचानी गई थीं किसी भी एक्सटर्नल रिपोर्ट से पहले — 2024 में 9% से बढ़कर।
Microsoft का अप्रोच इसके इंटीग्रेशन के लिए उल्लेखनीय है डेवलपर टेलीमेट्री का: मॉडल डेवलपर फ़टीग सिग्नल्स (कमिट फ़्रीक्वेंसी, टाइम-ऑफ़-डे पैटर्न्स, कोड रिव्यू थॉरोनेस मेट्रिक्स) को प्रिडिक्टिव फ़ीचर्स के रूप में फ़ैक्टर करता है, इस रिसर्च के आधार पर जो दिखाती है कि वल्नरेबिलिटीज़ डेवलपर बर्नआउट के दौर के आसपास क्लस्टर होती हैं।
Google की Project Zero टीम ने DeepMind के साथ पार्टनरशिप की, इसे बनाने के लिए VulnPredict, एक सिस्टम जो कोड एनालिसिस को एक नए "अटैकर सिमुलेशन" कंपोनेंट के साथ जोड़ता है। सिर्फ़ संभावित वल्नरेबल कोड की पहचान करने की बजाय, VulnPredict मॉडल करता है कि करंट एक्सप्लॉइट मार्केट इकोनॉमिक्स को देखते हुए एक अटैकर क्या टारगेट करेगा। इस अटैकर-पर्सपेक्टिव मॉडलिंग ने यह भविष्यवाणी करने में ख़ासतौर पर प्रभावी साबित हुई है कि कौन-सी वल्नरेबिलिटीज़ सक्रिय रूप से एक्सप्लॉइट की जाएंगी बनाम सिर्फ़ डिस्क्लोज़ की जाएंगी — डिफ़ेंसिव प्रायोरिटाइज़ेशन के लिए एक क्रिटिकल डिस्टिंक्शन।
Black Hat 2025 में शेयर किए गए इंटरनल बेंचमार्क्स में, VulnPredict ने पहचाना 47 ज़ीरो-डेज़ में से 34 को जो 2025 के दौरान वाइल्ड में एक्सप्लॉइट हुए थे, एक्सप्लॉइटेशन से पहले हाई-रिस्क कंपोनेंट्स के रूप में, हालांकि प्रिडिक्शन विंडो 2 हफ़्तों से 6 महीनों तक अलग-अलग थी।
The Linux Foundation की OSS-Predict पहल, जो 2025 के अंत में लॉन्च हुई, टॉप 10,000 सबसे ज़्यादा निर्भर ओपन-सोर्स पैकेजेज़ पर प्रिडिक्शन मॉडल्स लागू करती है। सिस्टम वीकली रिस्क रिपोर्ट्स जनरेट करता है जिन्हें मेंटेनर्स और डाउनस्ट्रीम कंज़्यूमर्स सिक्योरिटी ऑडिट रिसोर्सेज़ को पहले से आवंटित करने के लिए इस्तेमाल कर सकते हैं। शुरुआती नतीजे दिखाते हैं वल्नरेबिलिटी डिस्कवरी स्पीड में 23% सुधार प्रोग्राम में एनरोल्ड पैकेजेज़ के लिए।
इंटेलिजेंस कम्युनिटी के सोर्सेज़ बताते हैं कि कई नेशन-स्टेट एक्टर्स — जिनमें चीन के MSS, रूस के SVR, और NSA के TAO से जुड़े प्रोग्राम्स शामिल हैं — कम से कम 2024 से वल्नरेबिलिटी प्रिडिक्शन सिस्टम्स ऑपरेट कर रहे हैं। स्ट्रैटेजिक इम्प्लिकेशंस महत्वपूर्ण हैं: एक प्रभावी प्रिडिक्शन मॉडल वाला एक स्टेट एक्टर वेंडर की अपनी सिक्योरिटी टीम से तेज़ी से एडवर्सरी सॉफ़्टवेयर में संभावित ज़ीरो-डेज़ की पहचान कर सकता है, जिससे एक सिस्टमैटिक ऑफ़ेंसिव एडवांटेज बनता है।
प्रिडिक्शन एक्युरेसी के बारे में दावों को सावधानीपूर्वक जांच की ज़रूरत है। यह फ़ील्ड कई मेट्रिक्स इस्तेमाल करती है, हर एक की अपनी सीमाएं हैं:
| मेट्रिक | बेस्ट पब्लिश्ड रिज़ल्ट (2026) | प्रैक्टिकल सिग्निफ़िकेंस |
|---|---|---|
| कंपोनेंट-लेवल प्रिसीज़न | 62–71% | हाई-रिस्क के रूप में फ़्लैग किए गए कंपोनेंट्स में से, इतने प्रतिशत के लिए 12 महीनों के भीतर एक CVE फ़ाइल हुई |
| कंपोनेंट-लेवल रीकॉल | 44–58% | असली ज़ीरो-डेज़ में से, इतने प्रतिशत पहले से फ़्लैग किए गए कंपोनेंट्स में थे |
| एक्सप्लॉइटेशन प्रिडिक्शन AUC | 0.82–0.89 | "एक्सप्लॉइट होंगी" और "एक्सप्लॉइट नहीं होंगी" CVEs के बीच अंतर करने की क्षमता |
| टाइम-टू-डिस्कवरी एक्सेलरेशन | 2.3–4.7× तेज़ | प्रिडिक्टेड कंपोनेंट्स टारगेटेड फ़ज़िंग से गुज़रते हैं, रैंडम कवरेज से तेज़ी से बग्स ढूंढते हुए |
कमरे में मौजूद हाथी है फ़ॉल्स पॉज़िटिव्स। 62–71% प्रिसीज़न पर, लगभग 30–38% हाई-रिस्क फ़्लैग्स नॉइज़ हैं। हज़ारों कंपोनेंट्स मॉनिटर करने वाली एक सिक्योरिटी टीम के लिए, इसका मतलब है प्रति साइकल सैकड़ों अनावश्यक जांचें। ऑपरेशनल कॉस्ट मामूली नहीं है।
करंट मिटिगेशन स्ट्रैटेजीज़ में शामिल हैं:
प्रिडिक्शन मॉडल्स का उदय कई तरीक़ों से बग बाउंटी लैंडस्केप को नया आकार दे रहा है:
फ़ॉरवर्ड-थिंकिंग बग बाउंटी हंटर्स पहले से ही ओपन-सोर्स प्रिडिक्शन टूल्स इस्तेमाल कर रहे हैं (जैसे VulnHuntr, DeepVuln, और Carnegie Mellon के VUDENC) अपनी रिसर्च को गाइड करने के लिए। रैंडम टारगेट सिलेक्शन या भीड़भाड़ वाले "लेटेस्ट CVE" बैंडवैगन्स को फ़ॉलो करने की बजाय, वे इसकी पहचान के लिए प्रिडिक्शन स्कोर्स इस्तेमाल करते हैं अंडर-एक्सप्लोर्ड, हाई-प्रोबेबिलिटी अटैक सर्फ़ेसेज़। कई टॉप-रैंक्ड HackerOne और Bugcrowd रिसर्चर्स ने अपनी 2025–2026 फ़ाइंडिंग रेट्स का पब्लिकली श्रेय ML-गाइडेड टारगेट सिलेक्शन को दिया है।
जैसे-जैसे वेंडर्स इंटरनली प्रिडिक्शन मॉडल्स अपनाते हैं, "आसान" वल्नरेबिलिटीज़ — जो सिर्फ़ कोड पैटर्न्स से प्रिडिक्टेबल हैं — एक्सटर्नल रिसर्चर्स के इन्हें ढूंढने से पहले तेज़ी से पकड़ी जा रही हैं। यह बग बाउंटी इकोसिस्टम को इस ओर धकेलता है ज़्यादा कॉम्प्लेक्स, लॉजिक-लेवल वल्नरेबिलिटीज़ की ओर जिन्हें करंट ML मॉडल्स प्रिडिक्ट करने में स्ट्रगल करते हैं: डिस्ट्रिब्यूटेड सिस्टम्स में रेस कंडीशंस, सटल ऑथेंटिकेशन बायपास चेन्स, और बिज़नेस लॉजिक फ़्लॉज़ जिन्हें गहरी डोमेन समझ की ज़रूरत होती है।
एक्सप्लॉइट ब्रोकर्स कथित तौर पर प्रिडिक्शन डिफ़िकल्टी के आधार पर प्राइसिंग मॉडल्स एडजस्ट कर रहे हैं। ML मॉडल्स द्वारा लगातार हाई-रिस्क फ़्लैग किए गए सॉफ़्टवेयर कंपोनेंट्स में वल्नरेबिलिटीज़ की क़ीमत कम आंकी जाती है — यह मानते हुए कि वेंडर वैसे भी उन्हें जल्द पैच करेगा। इसके विपरीत, इनमें ज़ीरो-डेज़ "प्रिडिक्शन-रेसिस्टेंट" कंपोनेंट्स — जिनके क्लीन ML रिस्क स्कोर्स होते हैं — प्रीमियम प्राइसेज़ पाते हैं, कभी-कभी बेस रेट का 2–3×।
सबसे तुरंत असर पैच मैनेजमेंट पर है। Patch Tuesday का इंतज़ार करने और सिर्फ़ CVSS स्कोर्स के आधार पर ट्राएज करने की बजाय, प्रिडिक्शन फ़ीड्स इस्तेमाल करने वाली सिक्योरिटी टीमें शुरू कर सकती हैं प्री-पोज़िशनिंग मिटिगेशंस: प्रिडिक्टेड वल्नरेबल एंडपॉइंट्स के आसपास WAF रूल्स कड़े करना, प्रिडिक्टेड अटैक पैटर्न्स के लिए मॉनिटरिंग बढ़ाना, और हाई प्रिडिक्शन स्कोर्स वाले कंपोनेंट्स के लिए रोलबैक क्षमताओं को प्री-स्टेज करना।
प्रिडिक्शन मॉडल्स आर्किटेक्चरल चॉइसेज़ को प्रभावित कर रहे हैं। टीमें कंपोनेंट-लेवल रिस्क प्रिडिक्शंस का इस्तेमाल इनके बारे में फ़ैसलों को इन्फ़ॉर्म करने के लिए कर रही हैं डिपेंडेंसी सिलेक्शन, आइसोलेशन बाउंड्रीज़, और डिफ़ेंस-इन-डेप्थ लेयरिंग। लगातार हाई प्रिडिक्शन स्कोर वाली एक लाइब्रेरी को वल्नरेबिलिटी कन्फ़र्म होने से पहले ही रिप्लेस, सैंडबॉक्स्ड, या अतिरिक्त वैलिडेशन लेयर्स के साथ रैप किया जा सकता है।
इंटरनल रेड टीमें अपने कैंपेन्स को सबसे संभावित फ़्यूचर अटैक वेक्टर्स पर फ़ोकस करने के लिए प्रिडिक्शन आउटपुट्स इस्तेमाल कर रही हैं, जो प्रदान करता है प्रोएक्टिव एडवर्सरी सिमुलेशन कल की नोन वल्नरेबिलिटीज़ के ख़िलाफ़ टेस्टिंग की बजाय। यह रेड टीमिंग को एक कंप्लायंस एक्सरसाइज़ से एक वाक़ई प्रिडिक्टिव सिक्योरिटी फ़ंक्शन की ओर शिफ़्ट करता है।
KENSAI में, हमने वल्नरेबिलिटी प्रिडिक्शन को अपने प्लेटफ़ॉर्म की कोर इंटेलिजेंस पाइपलाइन में इंटीग्रेट किया है। हमारा अप्रोच तीन क्षमताओं पर फ़ोकस करता है:
यह स्वीकार करना ज़रूरी है कि प्रिडिक्शन मॉडल्स क्या नहीं कर सकते:
कई डेवलपमेंट्स क्षितिज पर हैं:
ज़ीरो-डे प्रिडिक्शन स्पेस एक्सपेरिमेंटल से एसेंशियल की ओर विकसित हो रही है। हालांकि करंट मॉडल्स परफ़ेक्ट से बहुत दूर हैं, वे इस बात में एक फ़ंडामेंटल शिफ़्ट दर्शाते हैं कि सिक्योरिटी इंडस्ट्री वल्नरेबिलिटी मैनेजमेंट को कैसे अप्रोच करती है — एक्सप्लॉइट का इंतज़ार करने से लेकर इसकी आशंका करने तक। जो ऑर्गनाइज़ेशंस आज प्रिडिक्शन क्षमताओं को इंटीग्रेट करने में निवेश करते हैं, वे 2027 और उसके बाद के थ्रेट लैंडस्केप के ख़िलाफ़ मापने योग्य रूप से बेहतर स्थिति में होंगे।
KENSAI वल्नरेबिलिटी प्रिडिक्शन मॉडल्स को आपके सिक्योरिटी वर्कफ़्लो में इंटीग्रेट करता है। CVEs पब्लिश होने से पहले अपने रिस्क स्कोर्स देखें।
KENSAI प्लेटफ़ॉर्म एक्सप्लोर करें