AI tìm thấy gấp đôi lỗ hổng phần mềm nhưng tại sao chúng không bị khai thác?

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Số lượng lỗ hổng phần mềm được phát hiện tăng gấp đôi nhờ AI, nhưng tỷ lệ bị khai thác thực tế lại thấp hơn mức trung bình lịch sử.
• Các công ty công nghệ lớn đang tự tìm và vá lỗi nội bộ trước khi chúng trở thành mối đe dọa, làm giảm cơ hội cho kẻ tấn công.
• Mặc dù AI giúp tăng tốc độ phát hiện, nhưng các mối đe dọa thực sự vẫn tập trung vào các hệ thống AI đang vận hành và các lỗ hổng có thời gian phản ứng nhanh.

Trong giới bảo mật, chúng ta thường nghe về viễn cảnh đen tối: những mô hình AI tiên tiến sẽ giúp hacker tạo ra một cơn lũ lỗ hổng zero-day mà các đội ngũ kỹ sư không thể vá kịp. Tuy nhiên, dữ liệu thực tế từ nửa đầu năm 2026 lại vẽ nên một bức tranh hoàn toàn khác. Thay vì một cuộc khủng hoảng, chúng ta đang chứng kiến sự trỗi dậy của một cơ chế phòng thủ chủ động, nơi AI trở thành công cụ đắc lực nhất cho chính các nhà phát triển.

Sự bùng nổ của các lỗ hổng được phát hiện bởi AI

Trong giai đoạn từ tháng 1 đến tháng 7 năm 2026, cơ sở dữ liệu lỗ hổng quốc gia (NVD) của Mỹ đã ghi nhận con số khổng lồ 45.207 lỗ hổng phần mềm. Con số này đang tiến sát tổng số lỗ hổng của cả năm 2025 - một năm vốn đã lập kỷ lục. Các ông lớn công nghệ như Oracle và Microsoft đã ghi nhận sự gia tăng đột biến trong các bản vá lỗi hàng tháng, với phần lớn đóng góp đến từ khả năng quét mã nguồn tự động của AI.

Để hiểu rõ hơn về sự chênh lệch giữa số lượng phát hiện và khả năng bị khai thác, hãy nhìn vào bảng so sánh dưới đây:

Nghịch lý về sự an toàn trong kỷ nguyên AI

Nghiên cứu từ VulnCheck chỉ ra rằng, chỉ có khoảng 1.3% các lỗ hổng được phát hiện bởi AI thực sự bị khai thác trong thực tế. Điều này đặt ra một câu hỏi lớn: Tại sao AI lại không giúp ích cho hacker nhiều như chúng ta lo ngại? Câu trả lời nằm ở quy trình Code Review. Hầu hết các lỗ hổng này được các nhà cung cấp tự phát hiện và vá ngay trong nội bộ trước khi chúng được công khai.

Lưu ý: Việc phát hiện lỗ hổng nhanh hơn không đồng nghĩa với việc chúng bị khai thác nhanh hơn. Ngược lại, nó giúp các đội ngũ DevOps & Cloud có thêm thời gian để triển khai các bản vá.

Khi AI trở thành mục tiêu thay vì công cụ

Thay vì tập trung vào các lỗ hổng phần mềm truyền thống, các cuộc tấn công hiện nay đang chuyển hướng sang chính các hệ thống AI. Chúng ta đã thấy các trường hợp như LangFlow bị tấn công bằng cách xâu chuỗi nhiều lỗ hổng để chiếm quyền truy cập. Điều này cho thấy rằng, trong khi các kỹ sư đang mải mê xây dựng MCP Server hay tối ưu hóa Coding Agents, thì bảo mật cho chính các Agent này phải được đặt lên hàng đầu.

Đánh giá & Lời khuyên Thực tiễn

Từ góc độ của một Tech Lead, tôi đánh giá rằng việc AI tìm ra nhiều lỗ hổng hơn là một tín hiệu tích cực cho sự ổn định của hệ thống. Tuy nhiên, cần lưu ý:

• Ưu điểm: Giảm thiểu rủi ro từ các lỗ hổng tiềm ẩn trong code base cũ.
• Nhược điểm: Tạo ra sự quá tải thông tin (alert fatigue) cho các đội ngũ bảo mật khi số lượng CVE tăng quá nhanh.
• Lời khuyên: Đừng quá phụ thuộc vào các công cụ tự động. Hãy kết hợp với các quy trình kiểm thử thủ công và đảm bảo rằng CI là trọng tài cuối cùng cho mọi thay đổi trong mã nguồn.

Câu hỏi thường gặp (FAQ)

Tại sao AI lại tìm thấy nhiều lỗ hổng hơn nhưng ít bị khai thác?

Vì phần lớn các lỗ hổng được phát hiện bởi chính các nhà phát triển trong quá trình phát triển sản phẩm, giúp họ vá lỗi trước khi hacker kịp tiếp cận.

Liệu AI có làm tăng rủi ro bảo mật cho doanh nghiệp không?

AI là con dao hai lưỡi. Nó giúp hacker tìm lỗi nhanh hơn, nhưng cũng giúp đội ngũ bảo mật củng cố hệ thống hiệu quả hơn. Kết quả cuối cùng phụ thuộc vào việc ai áp dụng AI nhanh hơn.

Các lập trình viên nên làm gì để bảo vệ hệ thống trước các mối đe dọa từ AI?

Hãy tập trung vào kiến trúc bảo mật Stateless và luôn kiểm soát chặt chẽ các quyền truy cập của AI Agent trong hệ thống.

Kết luận

Sự gia tăng của các lỗ hổng được AI phát hiện không phải là hồi chuông báo tử cho bảo mật phần mềm, mà là bước chuyển mình sang một giai đoạn phòng thủ chủ động hơn. Thay vì lo lắng, các lập trình viên nên tận dụng các công cụ này để làm sạch mã nguồn của mình. Hãy tiếp tục theo dõi hi_dev để cập nhật những xu hướng công nghệ mới nhất và đừng quên để lại bình luận nếu bạn có trải nghiệm thú vị với các công cụ bảo mật AI!