Bảo mật AI cần một ý kiến thứ hai

AI đang viết phần mềm nhanh hơn khả năng bảo mật của chúng ta. Bạn có theo kịp không?

Trong thời gian bạn đọc xong câu này, các nhà phát triển và tác nhân AI của họ sẽ đẩy lên khoảng hai nghìn lượt commit mã. Cũng vào thời điểm này năm ngoái, con số đó chỉ vào khoảng 150.

Trong năm qua, tốc độ phát triển phần mềm do AI tạo ra đã tăng đến mức đáng kinh ngạc. GitHub ghi nhận 7,38 tỷ lượt commit chỉ riêng trong tháng 9 năm 2026, nhiều hơn tổng số của một năm trước đó hơn năm lần. Sự bùng nổ này kéo theo những hệ quả sâu rộng về bảo mật. Mỗi lượt commit đó đều là mã mà ai đó cần hiểu, bảo trì và bảo mật. Liên minh Bảo mật Đám mây phát hiện rằng các nhà phát triển có AI hỗ trợ tại các công ty Fortune 50 commit mã với tốc độ cao gấp ba đến bốn lần so với đồng nghiệp, trong khi số phát hiện bảo mật hàng tháng của họ tăng khoảng gấp mười lần.

Giờ hãy nghĩ xem ai sẽ phải gánh phần gia tăng đó. Quy mô đội ngũ CISO vẫn như một năm trước, nhưng lượng việc tồn đọng thì không. Số báo cáo lỗ hổng đang tăng, số lỗi được khắc phục mỗi tháng đang giảm, còn số vấn đề nghiêm trọng chưa xử lý thì ngày càng nhiều. Không có gì ngạc nhiên khi Gartner cho biết tình trạng kiệt sức của CISO đang trở thành một rủi ro vận hành nghiêm trọng.

Sức hấp dẫn của mô hình mới nhất

Khi con số đã lớn đến vậy, người ta thường muốn chạy theo một con số còn lớn hơn: nhiều phát hiện hơn, phạm vi bao phủ rộng hơn, quét nhiều hơn. Nhưng làm vậy chẳng khác nào tát nước khỏi một con thuyền đang chìm rồi đòi một chiếc xô lớn hơn, trong khi điều cần làm là tìm chỗ rò. Hiệu quả của một chương trình bảo mật không được đo bằng số lượng vấn đề nó phát hiện. Thước đo là có bao nhiêu phát hiện thực sự chính xác và bao nhiêu trong số những phát hiện nghiêm trọng nhất được khắc phục.

Các mô hình AI tiên tiến rất giỏi phát hiện những cách khai thác mới và các lỗ hổng chưa được ghi nhận nhờ khả năng suy luận xác suất. Tuy nhiên, kết quả không nhất quán. Theo nghiên cứu của Checkmarx, khi chạy cùng một lượt quét trên cùng một đoạn mã năm lần, các phát hiện chỉ trùng khớp trong khoảng một phần ba số lần.

Chính sự thiếu nhất quán đó là lý do phân tích dựa trên quy tắc vẫn quan trọng. Cách này kém linh hoạt hơn AI tiên tiến hàng đầu, nhưng luôn áp dụng cùng một logic đã được kiểm chứng, nhờ đó các nhóm có thể tin cậy và xác minh kết quả. AI phát hiện những gì quy tắc bỏ sót, chẳng hạn các điểm yếu quen thuộc xuất hiện dưới dạng mới lạ, hoặc những lỗi chỉ có thể bị khai thác khi các phần mã riêng biệt tương tác với nhau. Kết hợp với nhau, AI và phân tích dựa trên quy tắc giúp phát hiện thêm nhiều vấn đề quan trọng, đồng thời giảm cảnh báo sai.

Điều này không có nghĩa là phản đối AI. Mà là bảo mật cần có ý kiến thứ hai. Dù chọn công cụ nào, hãy đánh giá nó dựa trên ba câu hỏi.

Câu hỏi thứ nhất: Độ tin cậy

Khi công cụ quét báo có vấn đề, liệu vấn đề đó có đáng để bạn dành thời gian xử lý không?

Độ tin cậy là nền tảng của niềm tin. Một phát hiện không có thật khiến nhà phát triển mất cả buổi chiều và làm đội ngũ bảo mật mất thêm chút uy tín. Khi triển khai trên quy mô lớn, chính các kết quả dương tính giả khiến các nhóm ngừng lắng nghe. Cảnh báo chẳng khác nào “kêu sói”, rồi dần chìm vào tiếng nhiễu nền.

Đây là lúc tính nhất quán trở nên quan trọng. Phân tích xác định luôn trả về cùng một kết quả mỗi khi quét cùng một đoạn mã, qua đó tạo dựng niềm tin và giúp kiểm tra, truy vết kết quả.

Câu hỏi thứ hai: Độ chính xác

Bạn có tìm được đầy đủ những vấn đề quan trọng nhất không?

Độ tin cậy cho bạn biết một phát hiện có đáng để dành thời gian xử lý hay không, nhưng không cho biết công cụ quét đã bỏ sót điều gì. Chúng tôi sử dụng một thước đo thực tiễn có nguồn gốc từ khoa học dữ liệu, gọi là điểm F1. Điểm F1 đánh giá hiệu suất theo thang điểm từ 1 đến 0, dựa trên hai yếu tố:

• Độ chính xác: tỷ lệ các phát hiện được báo cáo là có thật. Độ chính xác cao đồng nghĩa với ít cảnh báo sai hơn.
• Độ bao phủ: tỷ lệ lỗ hổng có thật mà công cụ quét thực sự tìm ra. Độ bao phủ cao đồng nghĩa với việc ít vấn đề bị bỏ sót.

Công cụ quét có thể trông rất chính xác nếu hầu như không báo lỗi, hoặc có vẻ toàn diện nếu báo mọi thứ, nhưng cả hai trường hợp đều có điểm F1 thấp. Mức trung bình của ngành vào khoảng 0,20. Chúng tôi đã nỗ lực rất nhiều để giải quyết thách thức này và đạt được kết quả có độ chính xác cao gấp ba đến bốn lần so với công cụ quét tiêu chuẩn.

Độ chính xác cao hơn giúp mọi khâu tiếp theo trở nên dễ dàng hơn với các nhà phát triển. Nhóm của bạn dành ít thời gian hơn để xác minh và nhiều thời gian hơn để khắc phục vấn đề.

Câu hỏi thứ ba: ROI

Làm thế nào để tối đa hóa khoản đầu tư và nguồn lực?

Đây là câu hỏi thường bị bỏ qua nhất trong giai đoạn thử nghiệm, nhưng khi triển khai thực tế lại là câu hỏi khiến người ta đau đầu nhất.

Các mô hình AI tiên tiến hàng đầu tính phí theo token, và token vẫn bị tiêu tốn dù quá trình quét có phát hiện được gì hay không. Với mức giá công bố hiện tại, quét một kho mã nguồn có một triệu dòng tốn hơn một nghìn đô la. Mức tiêu thụ token giữa các mô hình cũng chênh lệch đáng kể; chi phí thay đổi tùy thuộc vào mô hình bạn chọn và lượng suy luận cần thiết để hoàn thành công việc.

Hãy nhân khoản đó lên cho mọi lượt commit, yêu cầu kéo và kho mã nguồn trong một doanh nghiệp. Uber, công ty chi 3,4 tỷ đô la mỗi năm cho R&D, được cho là đã dùng hết toàn bộ ngân sách AI năm 2026 chỉ trong vài tháng sau khi triển khai các công cụ lập trình AI.

Chúng tôi gọi đây là thuế token. Cũng giống như lái một chiếc Ferrari đi mua thực phẩm: bạn đang trả tiền cho sức mạnh mà chuyến đi không cần đến. Thông tin xác thực được mã hóa cứng và lỗi chèn SQL là những mẫu có thể dự đoán, được phân tích tất định xử lý một cách đáng tin cậy.

AppSec phải phát triển

Đây là cơ sở lập luận đằng sau kiến trúc của Checkmarx Fusion. Các công cụ dựa trên quy tắc xác lập cơ sở chuẩn một cách nhất quán, có thể tái lập và với chi phí thấp hơn so với phân tích dựa trên token. Các mô hình tiên phong được hướng đến những điều mà quy tắc không thể lường trước: các mẫu mới, logic phức tạp và khả năng khai thác trong ngữ cảnh cụ thể. Sau đó, một tầng phân tích phát hiện hợp nhất các kết quả thành một tập hợp đáng tin cậy.

Phân tích tất định mang lại sự chắc chắn. AI mở rộng phạm vi phát hiện. Độ bao phủ và độ tin cậy cùng tăng lên. So với một mô hình ngôn ngữ lớn (LLM) hoạt động độc lập, chúng tôi ghi nhận độ trung thực cao hơn tới bốn lần, độ chính xác cao hơn từ hai đến bốn lần và chi phí chỉ bằng khoảng một phần ba.

Phát hiện vấn đề mới chỉ là bước khởi đầu. Nguyên tắc tương tự cũng áp dụng cho việc phòng ngừa. Hãy xem một ví dụ. Bằng cách trao quyền cho nhà phát triển ngay tại nơi họ tạo ra mã, trong IDE mà họ sử dụng để viết mã, chúng ta có thể ngăn vấn đề phát sinh ngay từ đầu. Tương tự, với những lỗ hổng vẫn lọt qua, tại sao không cung cấp cho nhà phát triển các bản sửa lỗi sẵn sàng hợp nhất để xử lý những lỗ hổng quan trọng nhất? Đây là những thách thức mà chúng tôi đang giải quyết, với mục tiêu từng bước thu hẹp lượng việc tồn đọng hiện có, đạt hiệu quả nhanh nhất với ít công sức nhất.

Mã đang chạy. Bạn có theo kịp không?

AI đã trao cho kẻ tấn công lợi thế về tốc độ. Cách thu hẹp khoảng cách đó không phải là bổ sung thêm một công cụ. Đó là quyết định về cách toàn bộ tổ chức của bạn phát triển và bảo mật phần mềm. Mã được viết hôm nay sẽ vận hành doanh nghiệp của bạn trong nhiều năm tới. Câu hỏi dành cho các nhà lãnh đạo bảo mật giờ đây không còn là AI giúp bạn phát triển nhanh hơn bao nhiêu, mà là liệu các chương trình của bạn có theo kịp những gì AI tạo ra hay không.

Vì vậy, đừng để những con số làm bạn mất tập trung. Hãy đặt ba câu hỏi về bất kỳ chương trình nào: Tôi có thể tin tưởng những gì chương trình phát hiện không? Chương trình có phát hiện đủ những vấn đề quan trọng không? Việc triển khai chương trình trên toàn tổ chức của tôi có khả thi không? Kết hợp độ chính xác tất định với khả năng suy luận của các mô hình tiên phong sẽ giúp bạn có cơ hội tốt nhất để trả lời “có” cho cả ba câu hỏi.

Tốc độ phát triển phần mềm không hề chậm lại. Nhiệm vụ của chúng ta lúc này là thu hẹp khoảng cách rủi ro: khoảng cách giữa tốc độ tạo ra phần mềm và tốc độ phát hiện, khắc phục rủi ro.