Xây dựng hệ thống quét lỗ hổng bảo mật tự động: Hướng đi từ Cloudflare

Trong bối cảnh hệ sinh thái AI thay đổi chóng mặt, việc phụ thuộc vào một mô hình đơn lẻ là rủi ro cực kỳ lớn. Dự án Project Glasswing của Cloudflare không chỉ dừng lại ở việc thử nghiệm mô hình bảo mật, mà còn tiến tới xây dựng một kiến trúc "Vulnerability Harness" (Hệ thống khai thác lỗ hổng) có khả năng tự động hóa việc quét bảo mật trên toàn bộ hệ thống enterprise.

Tại sao không nên chỉ dùng AI Agents thông thường?

Nhiều người đặt câu hỏi: "Tại sao không dùng các sub-agent đơn giản?". Thực tế, phân tích bảo mật đòi hỏi hàng trăm cuộc điều tra riêng biệt có tính bền bỉ (persistence) qua nhiều lần chạy, khả năng khử trùng lặp (deduplication) và truy vết phụ thuộc (dependency tracing) trên toàn bộ kho mã (fleet-wide). Các agent đơn lẻ thường gặp vấn đề:

• Cạn kiệt ngữ cảnh (Context exhaustion): Sau một thời gian, cửa sổ ngữ cảnh đầy khiến mô hình "quên" các lỗ hổng đã tìm thấy trước đó.
• Thiếu tính bền vững: Crash giữa chừng dẫn đến mất dữ liệu và tốn kém chi phí.
• Điểm mù: Agent chỉ nhìn thấy code cục bộ mà không hiểu được mối quan hệ giữa các component/repo khác nhau.

Kiến trúc Vulnerability Harness (VDH & VVS)

Cloudflare chia quy trình thành hai giai đoạn hoạt động độc lập nhằm đảm bảo tính khách quan:

1. Giai đoạn Vulnerability Discovery Harness (VDH)

Đây là động cơ tìm kiếm chủ động, thực hiện các tác vụ:

• Reconnaissance: 3 sub-agent chạy song song để vẽ ra sơ đồ kiến trúc (architecture.md).
• Hunting: Chạy các tấn công theo lớp (class-based attacks) để probe các binary hoặc mã nguồn.
• Validation: Kiểm tra cơ học (schema, line numbers) và sau đó là kiểm tra đối kháng (adversarial validation) để loại bỏ false-positives.
• Gap Filling: Tự tạo thêm các tác vụ hunt nếu thấy coverage còn thiếu.
• Cross-repo tracing: Đi sâu vào biểu đồ phụ thuộc để quét các repo tiêu thụ (consumer repos).

2. Giai đoạn Vulnerability Validation System (VVS)

Điểm then chốt ở đây là tính trung lập. Cloudflare sử dụng các mô hình khác nhau cho VDH và VVS.

• Cơ chế đối kháng: Nếu VDH phát hiện một lỗi, VVS (sử dụng mô hình khác) sẽ đóng vai trò là một bên thứ ba trung lập để kiểm chứng. Nếu VVS không thể "phá bỏ" được lỗ hổng đó, nó mới được đưa vào hàng đợi xử lý.
• Khả năng thay thế (Interchangeable components): Kiến trúc này cho phép bạn thay thế bất kỳ mô hình nào vào pipeline mà không làm hỏng hệ thống, giúp tránh được sự biến động về hiệu suất từ các nhà cung cấp AI.

Lộ trình xây dựng cho các đội ngũ phát triển

Theo lời khuyên từ đội ngũ kỹ thuật của Cloudflare, bạn nên đi từng bước:

1. Bắt đầu nhỏ: Viết một "security-audit skill" khoảng 450 dòng code, chạy trên một repo đơn lẻ.
2. Đừng tự động hóa quá sớm: Chỉ xây dựng các thành phần như "Cross-repo tracing" hay "Dedicated Deduplication agent" khi bạn bắt đầu bị nhấn chìm bởi thông tin nhiễu (noise).
3. Ưu tiên database: Hãy lưu trữ các giai đoạn Recon, Hunt và Validate vào database. Việc này giúp hệ thống có khả năng resuability (chạy tiếp khi crash).
4. Tách rời state: Hãy đối xử với LLM như một công cụ tính toán stateless (không trạng thái), mọi thông tin trạng thái phải nằm ở bên ngoài cơ sở dữ liệu của bạn.

Kết luận

Giá trị thực sự không nằm ở mô hình AI nào "xịn" nhất, mà nằm ở hệ thống điều phối (harness). Bằng cách codify các quy trình bảo mật thành một pipeline, bạn có thể biến các kỹ năng bảo mật rời rạc thành một hệ thống quét tự động có khả năng mở rộng trên hàng trăm repository, bất kể đó là Rust, Go, C hay TypeScript.