Dường như mỗi ngày thế giới số lại đối mặt với những xáo trộn mới. Trong những tuần gần đây, các nhà nghiên cứu phát hiện lỗ hổng bảo mật tại một số thành phần quan trọng nhất của internet. Những lỗi này có thể đẩy người dùng vào rủi ro, đe dọa các dịch vụ thiết yếu và gây thiệt hại kinh tế đáng kể. Nhưng nhìn theo một góc độ khác, đây lại có thể là dấu hiệu của tiến bộ.

Tháng 8, các nhà nghiên cứu phát hiện những lỗ hổng trong ngôn ngữ lập trình PHP, nền tảng của khoảng 70% website trên thế giới, có thể cho phép tin tặc đánh cắp dữ liệu hoặc cài phần mềm độc hại trên diện rộng. Phát hiện này khiến cơ quan An ninh Quốc gia Mỹ (NSA) phát cảnh báo và thúc đẩy nỗ lực vá lỗi trên toàn cầu. Gần đây, các lỗ hổng khác cũng được tìm thấy trong nhiều hệ thống, từ Linux đến OpenSSL và FreeBSD.

Đây không phải những trường hợp đơn lẻ. Dự án Glasswing, sáng kiến an ninh mạng do Anthropic PBC khởi xướng, cho phép một số doanh nghiệp và nhà nghiên cứu bảo mật tiếp cận phiên bản chuyên dụng của mô hình AI Claude. Chỉ từ tháng 4 đến tháng 7, dự án đã phát hiện hơn 129.000 lỗ hổng phần mềm được xác minh, nhiều lỗ hổng ở mức đặc biệt nghiêm trọng. Anthropic cũng độc lập tìm thấy thêm hàng ngàn lỗ hổng.

Những thông tin này có thể giống điềm báo về một thảm họa AI trong tương lai. Thực tế, chúng lại mang đến lý do để lạc quan một cách thận trọng.

Trước hết, nhiều lỗ hổng trong số này đã tồn tại suốt nhiều năm mà không bị phát hiện. Tìm ra và vá chúng giúp toàn bộ hệ thống an toàn hơn. Các đội ngũ phòng thủ được AI hỗ trợ đang tỏ ra đặc biệt hiệu quả trong việc phát hiện điểm yếu mà phương pháp kiểm thử truyền thống bỏ sót trong những phần mềm được sử dụng rộng rãi. Chẳng hạn, các vấn đề trong PHP đã bộc lộ từ năm 2024, nhưng phải nhờ AI, người ta mới hiểu đầy đủ mức độ nghiêm trọng của chúng.

AI rõ ràng cũng đang thay đổi bài toán chi phí của hoạt động nghiên cứu bảo mật. Các đội ngũ phòng thủ giờ đây có thể dùng tác nhân AI để quét tìm điểm yếu với quy mô và tốc độ chưa từng có, đồng thời rà soát những nơi như thư viện phần mềm cũ và các kho mã nguồn mà trước đây việc kiểm tra quá tốn kém hoặc không khả thi. Một công cụ AI được Microsoft Corp. thử nghiệm trên nhân Linux hồi đầu năm nay chỉ mất trung bình khoảng 22 phút và 3,6 USD để xác minh mỗi lỗ hổng nghi vấn.

Đến nay, bên phòng thủ dường như đang có lợi thế, ít nhất trong ngắn hạn. Dù tội phạm sử dụng AI để tìm lỗ hổng và phối hợp tấn công, chưa có nhiều bằng chứng cho thấy chúng thành công trên diện rộng. Báo cáo của nhóm phân tích mối đe dọa an ninh mạng thuộc Google cho thấy số lỗ hổng được công bố hằng tháng tăng khoảng gấp đôi trong nửa đầu năm, nhưng chỉ khoảng 0,2% tổng số lỗ hổng được phát hiện thực sự bị tin tặc khai thác.

Điều này mở ra khoảng thời gian quan trọng để củng cố hệ thống phòng thủ. Với các chuyên gia an ninh mạng, thách thức trước mắt là chuyển từ phát hiện sang khắc phục lỗ hổng. Các mô hình AI hàng đầu đang nhanh chóng cải thiện khả năng viết bản vá, nhưng triển khai rộng rãi với tốc độ cần thiết vẫn là bài toán khó. Một nghiên cứu cho thấy năm ngoái, các doanh nghiệp chỉ khắc phục hoàn toàn 26% số lỗ hổng đã được xác định là đang bị khai thác. Tại nhiều tổ chức, thời gian xử lý lỗ hổng đặc biệt nghiêm trọng vẫn thường kéo dài từ 30 đến 60 ngày.

Với các nhà hoạch định chính sách, mục tiêu nên là đẩy nhanh quá trình này ở bất cứ khâu nào có thể. Nhà Trắng nên mở rộng nỗ lực đưa các năng lực an ninh mạng của AI tiên tiến nhất đến càng nhiều đội ngũ phòng thủ đã qua thẩm định càng tốt, đồng thời hiện đại hóa quy trình quản lý lỗ hổng hiện hành. Quy định mua sắm của chính phủ liên bang cần yêu cầu cơ chế cập nhật tự động an toàn và các thông lệ phát triển phần mềm tốt khác, theo tinh thần cam kết “An toàn ngay từ thiết kế” của cơ quan An ninh mạng và An ninh cơ sở hạ tầng Mỹ (CISA). Quốc hội phải đầu tư bảo vệ hạ tầng trọng yếu, bao gồm các dự án mã nguồn mở thiết yếu.

Thực ra, không khó để hình dung một ngày toàn bộ quá trình phòng thủ diễn ra âm thầm, liền mạch và tự động, trong khi người dùng internet yên tâm sử dụng mà không hề hay biết. Tuy nhiên, hành trình từ hiện tại đến tương lai đó có thể còn nhiều biến động.