AI có thể phát hiện nhiều lỗ hổng hơn bao giờ hết. Con người vẫn phải quyết định bước tiếp theo.

Trong nhiều năm, các nhóm an ninh mạng vẫn dựa trên một giả định đơn giản: nếu có thể tìm ra nhiều lỗ hổng hơn trong thời gian ngắn hơn, chúng ta sẽ làm cho phần mềm an toàn hơn.

Trí tuệ nhân tạo đang thử thách giả định đó. Khi cuộc thảo luận rộng hơn về AI chuyển từ việc nhanh chóng ứng dụng công nghệ sang đánh giá giá trị có thể đo lường, lĩnh vực an ninh mạng đang cho thấy một thách thức sẽ không biến mất dù tốc độ phát triển AI có chậm lại. Các tổ chức đã phải đối mặt với số lượng phát hiện lỗ hổng do AI tạo ra ngày càng tăng, nhưng những phát hiện này vẫn cần con người xác minh, sắp xếp thứ tự ưu tiên và khắc phục.

Những phát hiện gần đây từ Dự án Glasswing là một trong những ví dụ rõ nét nhất cho đến nay. Theo báo cáo, Claude Mythos Preview đã xác định hơn 26.000 phát hiện lỗ hổng trong các dự án phần mềm chỉ trong vài tháng. Tuy nhiên, theo phân tích độc lập về sổ ghi nhận công khai các công bố của Glasswing, chỉ khoảng 10% trong số đó đã đi vào quy trình công bố, và chưa đến 1% cuối cùng được vá.

Những con số này gây ấn tượng, nhưng không đáng ngạc nhiên. Ngành công nghiệp đã dành hàng chục năm để tối ưu hóa việc phát hiện lỗ hổng. Điều ngành này chưa xây dựng được là năng lực xử lý các phát hiện lỗ hổng ở quy mô AI.

Nút thắt trong lĩnh vực an ninh mạng giờ đây không còn nằm ở khâu phát hiện. Vấn đề là những gì xảy ra tiếp theo.

Phát hiện lỗ hổng chưa bao giờ là phần khó nhất

Trong bản cập nhật ban đầu về Dự án Glasswing, Anthropic lưu ý rằng tiến độ ngày càng bị hạn chế không phải bởi việc tìm ra lỗ hổng, mà bởi khối lượng công việc con người cần thực hiện để xác minh báo cáo, phối hợp công bố thông tin và hỗ trợ khắc phục. Công ty cũng cho biết một số người bảo trì đề nghị giảm tốc độ công bố vì họ không đủ năng lực xử lý số lượng phát hiện được tạo ra.

Sự khác biệt này rất quan trọng, bởi việc phát hiện lỗ hổng và khắc phục lỗ hổng về bản chất là hai hoạt động hoàn toàn khác nhau.

Phát hiện lỗ hổng ngày càng là một bài toán nhận dạng mẫu. Các hệ thống AI hiện đại rất giỏi phân tích những kho mã lớn, xác định hành vi bất thường, lần theo các luồng thực thi và phát hiện những điểm yếu tiềm ẩn.

Khắc phục lại là chuyện khác. Muốn sửa một lỗ hổng, cần có bối cảnh. Phải có người xác định vấn đề đó có thực sự tồn tại hay không, hiểu tác động tiềm tàng, đánh giá các phương án sửa lỗi, bảo đảm những thay đổi không gây ra lỗi hồi quy, phối hợp lịch trình công bố thông tin, trao đổi với các bên liên quan và cuối cùng chịu trách nhiệm về kết quả.

Điểm cuối cùng này rất quan trọng. AI có thể xác định một lỗ hổng tiềm ẩn, nhưng không thể chịu trách nhiệm về những gì xảy ra tiếp theo. Việc xác minh, phân loại mức độ ưu tiên, sửa lỗi và báo cáo sẽ luôn cần đến một người chịu trách nhiệm về dự án mình bảo trì. Công việc đó tiêu tốn thời gian của những người thường còn phải làm việc toàn thời gian, chăm lo gia đình và chu toàn các nghĩa vụ khác. Trong nhiều dự án mã nguồn mở, yếu tố hạn chế không phải là khả năng nhận diện rủi ro, mà là năng lực của người bảo trì và các nhóm an ninh trong việc đánh giá và ứng phó có trách nhiệm với số lượng phát hiện ngày càng tăng.

Đây là khác biệt căn bản giữa phát hiện và khắc phục. AI ngày càng có thể giúp chúng ta mở rộng quy mô phát hiện. Nhưng việc khắc phục vẫn phụ thuộc vào những người có đủ bối cảnh, thẩm quyền và trách nhiệm để hành động dựa trên những gì AI phát hiện.

Thách thức đối với mã nguồn mở

Tình trạng này càng rõ rệt hơn trong hệ sinh thái mã nguồn mở. Các thành phần mã nguồn mở hiện diện trong 98% cơ sở mã thương mại, nên phần lớn cơ sở hạ tầng số trên thế giới phụ thuộc vào những dự án do các nhóm cộng tác viên tương đối nhỏ duy trì.

Trong nhiều trường hợp, những người chịu trách nhiệm bảo trì phần mềm thiết yếu này là tình nguyện viên hoặc những cá nhân phải cân bằng trách nhiệm với dự án bên cạnh công việc toàn thời gian và nghĩa vụ cá nhân. Khi AI làm tăng số lượng phần mềm cũng như số lỗ hổng được phát hiện trong đó, năng lực theo kịp tình hình của những người bảo trì ngày càng trở thành một phần quan trọng trong bài toán an ninh.

Khi một hệ thống AI đột ngột tạo ra hàng trăm hoặc hàng nghìn phát hiện tiềm ẩn nhắm vào một hệ sinh thái dự án, những người bảo trì trở thành nút thắt hạn chế.

Đây không phải là lời chỉ trích người bảo trì. Đó là sự phản ánh thực tế.

Ngay cả trước khi xuất hiện công nghệ phát hiện lỗ hổng bằng AI, nhiều dự án mã nguồn mở đã chật vật vì nguồn lực hạn chế, kỳ vọng về an ninh ngày càng cao và gánh nặng bảo trì ngày càng lớn. AI đang làm gia tăng áp lực lên một hệ thống vốn đã quá tải.

Thách thức không chỉ là xác định xem có lỗ hổng hay không. Thách thức nằm ở mọi việc xảy ra sau đó.

Phải có người xem xét báo cáo. Phải có người tái hiện vấn đề. Phải có người quyết định liệu vấn đề đó có gây ra rủi ro an ninh hay không. Phải có người phát triển và kiểm thử bản sửa lỗi. Phải có người phối hợp công bố thông tin và phát hành các bản cập nhật. Không thể đơn giản tự động hóa để loại bỏ những trách nhiệm đó.

Khi số lượng phát hiện do AI tạo ra tiếp tục tăng, các tổ chức dựa vào phần mềm mã nguồn mở sẽ ngày càng phụ thuộc vào sức khỏe và tính bền vững của những người duy trì phần mềm đó.

Chuẩn bị ứng phó với làn sóng phát hiện lỗ hổng bằng AI

Vậy doanh nghiệp nên làm gì? Trước hết, các tổ chức cần nhận thức rằng việc phát hiện lỗ hổng nhờ AI không phải là vấn đề của tương lai. Điều đó đang diễn ra ngay lúc này. Project Glasswing cho thấy các mô hình tiên tiến có thể phát hiện lỗ hổng ở quy mô mà chỉ vài năm trước thôi, người ta khó lòng hình dung được.

Thứ hai, các nhà lãnh đạo phụ trách an ninh nên đánh giá xem quy trình khắc phục của tổ chức có thể mở rộng tương ứng với năng lực phát hiện hay không. Nhiều tổ chức đã đầu tư mạnh vào việc tìm kiếm lỗ hổng, nhưng lại đầu tư chưa tương xứng vào nhân lực và quy trình chịu trách nhiệm xử lý chúng.

Thứ ba, doanh nghiệp nên chú trọng hơn đến việc bảo trì phần mềm như một chức năng bảo mật. An ninh thường được bàn đến dưới góc độ phòng ngừa và phát hiện, nhưng bảo trì dài hạn vẫn là một trong những thành phần quan trọng nhất và ít được đánh giá đúng mức trong quản lý rủi ro. AI có thể giúp phát hiện lỗ hổng dễ dàng hơn, nhưng điều đó không làm giảm trách nhiệm duy trì an toàn cho phần mềm thiết yếu theo thời gian. Các tổ chức cần có chiến lược phân định trách nhiệm quản lý xuyên suốt vòng đời phần mềm, để có thể chủ động hiện đại hóa thay vì bị buộc phải di chuyển hệ thống gấp gáp hoặc khắc phục sự cố một cách bị động khi rủi ro xuất hiện.

Cuối cùng, các tổ chức nên hỗ trợ những hệ sinh thái rộng lớn hơn mà mình phụ thuộc vào. Khi AI đẩy nhanh việc phát hiện lỗ hổng trong phần mềm nguồn mở, những người bảo trì sẽ phải đối mặt với ngày càng nhiều yêu cầu. Xét đến cùng, mức độ an toàn của chuỗi cung ứng phần mềm phụ thuộc vào việc những người bảo trì đó có đủ nguồn lực cần thiết để ứng phó hay không.

AI có thể tìm ra lỗ hổng nhanh hơn. Nhưng việc tìm thấy lỗ hổng không khiến phần mềm trở nên an toàn. Công việc khó khăn hơn là xác thực rủi ro, ưu tiên những vấn đề quan trọng, triển khai các bản sửa lỗi đã được kiểm thử và duy trì phần mềm an toàn theo thời gian. Khi tốc độ phát hiện lỗ hổng tăng lên, các tổ chức sẽ cần năng lực khắc phục liên tục, được hỗ trợ bởi chuyên môn, trách nhiệm giải trình và các mức dịch vụ rõ ràng.

Bởi vì vấn đề khó nhất trong an ninh mạng không phải là tìm ra lỗ hổng, mà là những gì xảy ra tiếp theo.