AI zero-day: khi thời gian phòng thủ bị nén lại
AI tự động phát hiện lỗ hổng bảo mật là việc dùng các mô hình và hệ thống trí tuệ nhân tạo để tự động phân tích mã nguồn, luồng dữ liệu và hành vi hệ thống nhằm xác định, kiểm chứng và báo cáo lỗ hổng, bao gồm cả zero-day, với tốc độ và quy mô vượt xa khả năng làm việc thủ công của con người.
Dữ liệu công bố tại một hội nghị an ninh mạng cho thấy kỷ nguyên săn lùng zero-day thủ công với “cửa sổ vá lỗi” 50 ngày đang đi tới hồi kết. Khi AI phát hiện lỗ hổng nhanh gần bằng thời gian thực, mọi giả định rằng doanh nghiệp có hàng tuần để lên kế hoạch vá lỗi trở nên lỗi thời. Đây không chỉ là tiến bộ kỹ thuật; đó là cú sốc chiến lược buộc cả giới tấn công lẫn phòng thủ phải viết lại luật chơi. Ai vẫn giữ tư duy “vá từ tốn” sẽ biến hệ thống của mình thành sân thử nghiệm lý tưởng cho hacker dùng AI.
Multi-Agent trên laptop: hơn 100 lỗ hổng trong 20 ngày
Một minh chứng rõ ràng cho làn sóng mới của zero-day vulnerability AI đến từ tham luận “Những lỗ hổng không do con người tìm ra” tại BSides Hanoi với chủ đề “NoHuman”. Ở đây, AI không còn là trợ lý đứng sau, mà vào thẳng tuyến đầu săn lỗ hổng 0-day.
Nhóm nghiên cứu đã xây dựng hệ thống tự động phân tích lỗ hổng dựa trên kiến trúc Multi-Agent, trong đó nhiều tác nhân AI lần lượt đảm nhiệm các công đoạn: tự động tải và phân tích mã nguồn, đánh giá luồng dữ liệu, kiểm tra ngữ nghĩa chương trình, xác minh lỗ hổng trong môi trường sandbox và tạo báo cáo theo chuẩn các nền tảng như HackerOne. Hệ thống chạy liên tục khoảng 20 ngày trên một laptop cá nhân, nhắm tới các dự án mã nguồn mở phổ biến, và đã phát hiện hơn 100 lỗ hổng được cấp mã CVE, với tỷ lệ báo cáo Bug Bounty được chấp nhận lên tới 90–95%. Đây là bằng chứng sống cho thấy một máy cá nhân, nếu có AI phù hợp, có thể đạt hiệu suất ngang một nhóm chuyên gia toàn thời gian.
NOVA và Ceres: AI tấn công kéo AI phòng thủ vào thời gian thực
Trên mặt trận doanh nghiệp, một nhà cung cấp lớn đã giới thiệu nghiên cứu và cập nhật nền tảng mới tại một sự kiện an ninh, báo hiệu sự dịch chuyển cấu trúc trong bảo mật mạng AI. Họ trình diễn bộ khung AI đa mô hình NOVA (Network and Open-Source Vulnerability Analyzer), cho phép các mô hình tiên tiến kiểm tra kho mã, viết mã khai thác PoC và xác minh lỗ hổng nghiêm trọng với tốc độ “không tưởng” trước đây.
Quan trọng hơn, để đối phó bối cảnh đe doạ tăng tốc, họ đồng thời phát hành hệ điều hành PAN-OS 12.2 Ceres cho tường lửa, bổ sung Advanced Virtual Patching, Advanced IP Defense và các Network Security Agent tự động. Những tác nhân này có nhiệm vụ trung hoà khai thác do AI tạo ra ngay ở lớp mạng trong vài giờ, thay vì vài tháng. Câu chuyện không còn là “phủ vá lỗi thủ công đúng hạn”, mà là kiến trúc phòng thủ phải tự động phân tích lỗ hổng, tạo lớp vá ảo, cập nhật chính sách ở tốc độ gần bằng máy. Nếu kẻ tấn công dùng NOVA, người phòng thủ mà vẫn sống trong thế giới script thủ công thì thua ngay từ phút đầu.
Phương pháp nghiên cứu lỗ hổng: từ nghệ nhân sang chuỗi tự động
Trong nhiều năm, phần nặng nhất của công việc săn lỗ hổng không nằm ở việc tìm bug, mà ở khâu xác minh, dựng PoC, xây môi trường kiểm thử, đánh giá tác động và hoàn thiện báo cáo cho nhà phát triển hoặc chương trình Bug Bounty. Khi AI có thể gánh phần lớn chuỗi này, vai trò của con người bị đẩy lên tầng chiến lược: chọn mục tiêu, thiết kế quy trình và quản lý rủi ro.
Nhóm Multi-Agent kể trên không chỉ phát hiện lỗ hổng dựa trên mẫu có sẵn mà còn kết hợp lịch sử Issues, Pull Requests và cấu trúc thực tế của dự án để giảm cảnh báo giả, đồng thời chọn mục tiêu sao cho khả năng báo cáo được chấp nhận cao hơn. Diễn giả nhấn mạnh: “Trong nhiều tác vụ, AI có thể thực hiện nhanh hơn và trên quy mô lớn hơn rất nhiều so với con người”, và vì thế cần thay đổi cả cách nghiên cứu lẫn phương thức phòng thủ trong an ninh mạng. Nếu vẫn giữ tư duy “thủ công là chuẩn”, các nhóm nghiên cứu lỗ hổng sẽ bị chính AI của mình bỏ lại phía sau.
Từ vá phản ứng sang vá ảo thời gian thực – và bài toán công bố có trách nhiệm
Khi dữ liệu tại một hội nghị lớn cho thấy “cửa sổ 50 ngày” bị xoá nhờ AI, doanh nghiệp không còn lựa chọn ở lại với mô hình vá lỗi phản ứng. Hệ thống phòng thủ phải dịch chuyển sang tự động hoá, dùng virtual patching ở lớp mạng và endpoint để chặn khai thác trong khi bản vá chính thức chưa kịp phát hành. Các tính năng như Advanced Virtual Patching và Network Security Agent tự động được giới thiệu trong PAN-OS 12.2 Ceres chính là câu trả lời đầu tiên cho yêu cầu này.
Nhưng tốc độ phát hiện lỗ hổng tăng lên cũng kéo theo câu hỏi khó về thời gian công bố có trách nhiệm. Khi một hệ thống zero-day vulnerability AI có thể tạo ra khối lượng phát hiện khổng lồ, như nhận định rằng vấn đề không còn là “tìm được bao nhiêu lỗ hổng” mà là xử lý và xác minh chúng, việc xác định khi nào báo cho nhà cung cấp, khi nào công bố rộng rãi trở nên nhạy cảm hơn bao giờ hết. Diễn đàn với chủ đề “NoHuman” đã đặt thẳng câu hỏi về niềm tin, cơ chế kiểm soát và an toàn trong một môi trường ngày càng nhiều quyết định được đưa ra bởi hệ thống tự động. Câu trả lời hợp lý hôm nay có thể là: con người phải thiết lập khung đạo đức và quy trình, rồi để AI chạy trong đường ray đó – không ngược lại.
