Cơ sở dữ liệu lỗ hổng Quốc gia Mỹ (NVD), kho lưu trữ các sơ hở bảo mật kỹ thuật số, ghi nhận 45.207 lỗ hổng trong khoảng thời gian từ tháng 1 đến thứ Hai vừa qua, con số tiệm cận tổng số lỗ hổng được phát hiện trong cả năm 2025. Năm ngoái cũng từng ghi nhận kỷ lục mọi thời đại về số lượng lỗ hổng bảo mật được lưu trữ trên cơ sở dữ liệu này. Lỗ hổng bảo mật là những điểm yếu trong phần mềm mà tin tặc có thể khai thác, bao gồm cả việc xâm nhập vào các hệ thống máy tính để thực hiện hành vi phạm tội hoặc tiến hành hoạt động tình báo.

Oracle cho biết công ty đã vá 1.449 lỗ hổng bảo mật trong bản cập nhật phần mềm hàng tháng vào tháng 7, đạt mức kỷ lục mọi thời đại đối với gã khổng lồ công nghệ 49 năm tuổi này, trong khi bản cập nhật cùng kỳ năm ngoái chỉ chứa 309 bản sửa lỗi. Microsoft đã công bố 642 lỗi bảo mật trong tháng 7, mức cao kỷ lục khác và cao gấp gần năm lần so với cùng kỳ năm ngoái. Alphabet, công ty mẹ của Google, cũng phát hiện và khắc phục 433 lỗi tương tự trong bản cập nhật gần đây cho trình duyệt Chrome, so với 11 lỗi trong bản cập nhật tương đương một năm trước.

Gabriel Bernadett-Shapiro, nhà nghiên cứu AI cấp cao tại công ty an ninh mạng SentinelOne, nhận định: "Chúng ta phải nhìn nhận thực tế rằng các công cụ này đang gia tăng đáng kể khả năng tìm kiếm lỗ hổng phần mềm của con người."

Chia sẻ với Bloomberg, ông Doug Turner, giám đốc Kỹ thuật mảng Chrome tại Google, cho biết quy mô và tốc độ phát hiện lỗ hổng "chưa từng có" này là kết quả của sự tiến bộ trong các mô hình AI cũng như mức đầu tư tương ứng.

Microsoft từ chối đưa ra bình luận. Oracle cũng không phản hồi yêu cầu bình luận.

Sự gia tăng đột biến của các lỗ hổng được phát hiện đã củng cố thêm tính xác thực cho những cảnh báo mà các chính phủ và công ty bảo mật liên tục đưa ra về mối đe dọa từ các tin tặc được trang bị các mô hình AI mới đầy sức mạnh.

Tuy nhiên, phân tích sâu hơn vào các số liệu cũng phản ánh các giới hạn của các mối lo ngại này. Theo danh mục lỗ hổng đã bị khai thác thực tế (KEV) của chính phủ Mỹ, dù số lượng lỗ hổng được phát hiện tăng lên, số vụ việc bị khai thác trong năm nay lại không hề gia tăng. Báo cáo từ các công ty công nghệ chỉ ra rằng lực lượng nhân sự an ninh nội bộ của họ đang tự tìm ra phần lớn các lỗ hổng mới nhờ vào chính các công cụ AI chuyên dụng về an ninh mạng của mình. Trong số 433 lỗ hổng trên Chrome vào tháng 7, có đến 401 lỗi được chính Google phát hiện và "báo cáo nội bộ."

"Chúng ta đơn giản là chưa thấy các con số thực tế đủ để chứng minh cho những dự báo đầy bi quan," Dustin Childs, trưởng bộ phận Nhận thức mối đe dọa tại công ty an ninh mạng Trend Micro, cho biết.

Các mô hình AI tiên phong đã gia tăng đáng kể khả năng phát hiện lỗ hổng phần mềm trong những tháng gần đây, dấy lên sự lo ngại về làn sóng tin tặc lợi dụng các kẽ hở này. Công cụ Mythos của Anthropic PBC đã phát hiện hàng ngàn lỗ hổng phần mềm ngay trong các đợt thử nghiệm ban đầu, thể hiện một cấp độ năng lực mới của các mô hình AI hàng đầu. OpenAI cũng đã phát triển các công cụ tương tự. Theo nguồn tin từ Bloomberg, các quan chức tại cơ quan An ninh Quốc gia Mỹ (NSA) đã rất ấn tượng trước khả năng tìm kiếm và khai thác các lỗ hổng an ninh mạng của mô hình Anthropic.

Vào thứ Hai, Microsoft đã phát hành thêm một công cụ bảo mật AI có tên MAI-Cyber-1-Flash, được khẳng định sẽ hỗ trợ hiệu quả việc quản lý các lỗ hổng phần mềm.

Các tin tặc hiện cũng có thể biến các lỗ hổng lý thuyết thành các công cụ khai thác thực tế dùng để xâm nhập hệ thống máy tính với tốc độ nhanh hơn bao giờ hết. Alexander Leslie, cố vấn cao cấp tại công ty an ninh mạng Recorded Future, cho biết thời gian trung bình để kẻ tấn công khai thác một lỗ hổng đã giảm từ 72 giờ trong năm ngoái xuống chỉ còn 24 giờ vào năm 2026.

Vào ngày 21 tháng 7, OpenAI tiết lộ các tác tử tự hành của họ đã xâm nhập thành công vào một công ty khác là Hugging Face. Báo cáo của Bloomberg chỉ ra rằng sự cố này chỉ diễn ra trong vài giờ, so với khoảng thời gian nhiều tuần nếu do con người thực hiện. Công ty cho biết các mô hình này đã hoạt động mà không có các rào chắn an toàn thông thường, bởi OpenAI vốn có ý định giữ chúng trong một môi trường phần mềm cô lập ảo dùng để kiểm thử an ninh hoặc phân tích mã độc trong tình trạng kiểm soát.