AI biến việc săn lỗi thành một quy trình có thể mở rộng
AI phát hiện lỗ hổng là việc dùng mô hình để rà soát mã, kiểm tra lỗi trong môi trường cô lập và hỗ trợ chứng minh khả năng khai thác, thay vì chỉ dựa vào việc đọc mã thủ công. Điểm đáng chú ý không phải AI thay thế chuyên gia, mà là nó có thể đưa lượng phát hiện vượt quá sức rà soát của con người vào một quy trình kiểm chứng có thứ tự. Giữa tháng 10/2026, quy trình thử nghiệm của OpenAI trên một bản phân phối Linux phổ biến tái hiện động 1.724 lỗ hổng tiềm năng, tạo bằng chứng khai thác cho 291 lỗi rò rỉ thông tin và tạo 948 mã khai thác leo thang đặc quyền cục bộ có thể giúp người dùng thường giành quyền root. Đây là kết quả trong môi trường nghiên cứu có kiểm soát, không phải tuyên bố rằng mọi hệ thống Linux đều đã bị xâm nhập. Tuy vậy, nó cho thấy quy mô của lỗ hổng Linux có thể khiến cách phân loại thủ công trở thành nút thắt.
Hệ thống không dừng ở bước quét: nó xác thực động, đánh giá khả năng khai thác, tạo bản vá đề xuất và để nhà nghiên cứu xem xét trước khi báo cáo. Cách làm này có giá trị vì một cảnh báo chưa được tái hiện dễ gây nhiễu, còn bản vá tự động chưa qua kiểm tra có thể làm phát sinh lỗi mới. OpenAI cho biết đang ưu tiên lỗi nghiêm trọng theo hướng dẫn của cộng đồng nhân Linux và phối hợp gửi báo cáo, bản vá qua các đối tác Patch the Planet. Nhân Linux phục vụ từ thiết bị Android đến hạ tầng đám mây, nên tác động của việc rút ngắn thời gian tìm và sửa lỗi vượt xa một dự án phần mềm đơn lẻ. Với hệ điều hành chưa cập nhật, tài khoản quyền thấp có thể trở thành bàn đạp để leo thang đặc quyền; vì thế, cập nhật và cô lập hệ thống vẫn là tuyến phòng thủ thiết yếu.
Từ nhân Linux đến lỗi bộ nhớ trong 7-Zip
Trường hợp 7-Zip cho thấy AI cũng hữu ích trong một cuộc điều tra có mục tiêu cụ thể. Nguyễn Trần Thanh Lâm, sinh viên năm ba ngành Khoa học máy tính tại Đại học Công nghệ Nanyang, cùng cộng sự dùng Claude Opus 5 hỗ trợ phát hiện lỗ hổng nghiêm trọng cao CVE-2026-125742. Khác với quy trình quét quy mô lớn trên Linux, đây là nghiên cứu tập trung vào hành vi giải nén tệp CAB nhiều phần. Lỗi thuộc nhóm ghi dữ liệu vượt giới hạn vùng nhớ. Khi chuyển sang phần CAB tiếp theo, 7-Zip có thể cấp phát vùng nhớ nhỏ hơn nhưng vẫn dùng vị trí ghi cũ; kiểm tra giới hạn không phát hiện phần dữ liệu tràn ra ngoài. Nhóm nghiên cứu trình bày cách hai tệp CAB được tạo đặc biệt có thể kích hoạt chuỗi khai thác và tạo kết nối điều khiển từ xa. Nếu thành công, kẻ tấn công có thể chạy mã với quyền của tài khoản đang mở 7-Zip, từ đó truy cập dữ liệu hoặc cài phần mềm độc hại. Đây là rủi ro thực tế với người dùng mở tệp không đáng tin, chứ không chỉ là một lỗi kỹ thuật trên giấy.
AI ở đây là trợ lý nghiên cứu, không phải người chịu trách nhiệm cuối cùng cho phát hiện hay bản vá. Lỗ hổng 7-Zip đã có bản sửa trong phiên bản 26.06; người dùng nên cập nhật lên phiên bản này hoặc mới hơn. Bài học quan trọng là mô hình có thể giúp lần theo một lỗi quản lý bộ nhớ và đẩy nhanh việc xây dựng bằng chứng, nhưng xác nhận tác động, công bố có trách nhiệm và kiểm tra bản sửa vẫn cần quy trình bảo mật của con người. So với 948 mã khai thác Linux được tạo trong một lần chạy, trường hợp 7-Zip nhấn mạnh chiều sâu: một lỗi cụ thể được giải thích đến cơ chế gây tràn bộ nhớ và hậu quả có thể xảy ra.
Mã AI an toàn hơn chưa có nghĩa là an toàn
Phát hiện lỗi trong mã có sẵn và viết mã an toàn là hai năng lực khác nhau. Báo cáo của Veracode ghi nhận mức bảo mật tổng thể của mã do AI tạo tăng từ 56% lên 62%, trong khi tỷ lệ có lỗ hổng giảm từ 44% xuống 38%. Đó là tiến bộ đáng kể trong một năm, nhưng vẫn đồng nghĩa hơn một phần ba mã được đánh giá còn lỗi bảo mật. Vì vậy, không thể lấy việc mã chạy đúng chức năng làm bằng chứng rằng mã đã an toàn. Phần cải thiện chủ yếu đến từ XSS, dạng lỗi được xem là tương đối dễ xử lý; các bài toán đòi hỏi suy luận luồng dữ liệu qua nhiều hàm chưa cho thấy tiến bộ tương tự. Điều này đặt giới hạn rõ ràng cho bảo mật mã AI: mô hình có thể tạo bản nháp nhanh, nhưng vẫn có thể bỏ sót rủi ro ở các tương tác phức tạp hoặc tạo ra lỗi mà kiểm thử chức năng không phát hiện.
Bức tranh chung vì thế không phải AI chỉ là công cụ tấn công hay phép màu vá lỗi. Cùng một thế hệ mô hình có thể tìm ra lỗi lâu năm trong nhân Linux, hỗ trợ lần dấu lỗi nghiêm trọng trong 7-Zip, nhưng mã do mô hình viết vẫn cần rà soát, kiểm thử bảo mật và đánh giá chuyên môn. OpenAI đề xuất lặp lại quy trình quét và khắc phục qua các thế hệ mô hình tiếp theo, đồng thời xem việc tạo bản vá tự động là hướng cần phát triển dưới sự hướng dẫn của chuyên gia. Kết luận nên dứt khoát: hãy dùng AI để tăng tốc kiểm tra và sửa lỗi, không dùng nó làm giấy chứng nhận an toàn. Khi tốc độ phát hiện tăng, cập nhật nhanh, xác thực độc lập và phòng thủ nhiều lớp càng trở nên quan trọng.
