AWS dùng AI agent để phân loại lỗ hổng CVE trong nhân Linux

Các kỹ sư của Amazon Web Services (AWS) vừa chia sẻ chi tiết về cách nhóm phụ trách nhân Linux cho hạ tầng EC2 xử lý các lỗ hổng bảo mật (CVE). Quy trình này kết hợp ba lớp: bộ lọc tự động, một AI agent và bước rà soát cuối cùng của con người.

Bên cạnh đó, nhóm cũng đưa ra lập luận rằng việc chuyển sang các nhân hỗ trợ dài hạn (LTS) mới hơn là cần thiết, bởi những nhánh cũ đang tích tụ các bản vá mà không bao giờ được backport trở lại.

Bài toán CVE của nhân Linux trên quy mô EC2

Nhân Linux là nền tảng của toàn bộ hạ tầng EC2, đồng nghĩa với việc mọi lỗ hổng trong nhân đều có thể ảnh hưởng đến hàng loạt khách hàng dịch vụ đám mây. Số lượng CVE được công bố mỗi năm rất lớn, trong khi đội ngũ bảo trì có hạn, khiến việc phân loại và ưu tiên xử lý trở thành một thách thức vận hành thực sự.

Theo mô tả của AWS, quy trình xử lý gồm ba tầng:

• Bộ lọc tự động loại bỏ những CVE không liên quan đến cấu hình nhân mà AWS đang vận hành, giảm tải khối lượng công việc ngay từ đầu.
• AI agent tiếp nhận những trường hợp còn lại, phân tích ngữ cảnh, mức độ ảnh hưởng và đề xuất hướng xử lý.
• Con người rà soát các kết luận của AI trước khi đưa ra quyết định cuối cùng về việc vá hay không vá.

AI agent không thay thế kỹ sư

Điểm đáng chú ý là AWS không giao toàn bộ quyết định cho AI. Vai trò của agent là giảm gánh nặng phân tích thủ công, còn trách nhiệm cuối cùng vẫn thuộc về kỹ sư bảo mật. Đây là cách tiếp cận đang dần trở thành chuẩn mực trong ngành: dùng AI để tăng tốc quy trình, nhưng giữ vòng kiểm soát của con người ở những bước có rủi ro cao.

Việc kết hợp lọc tự động, AI và rà soát thủ công cho thấy AI hữu ích nhất khi đóng vai trò trợ lý trong quy trình có kiểm soát, chứ không phải công cụ ra quyết định độc lập.

Vấn đề nhánh LTS cũ và bản vá không được backport

Ngoài quy trình xử lý CVE, nhóm AWS còn nêu một vấn đề mang tính hệ thống: các nhánh nhân LTS cũ đang tích tụ những bản sửa lỗi không bao giờ được đưa ngược (backport) về. Điều này tạo ra khoảng trống bảo mật âm thầm, khi bản vá tồn tại ở nhánh mới nhưng người dùng nhánh cũ lại không nhận được.

Hệ quả là việc duy trì các nhánh cũ ngày càng tốn kém mà hiệu quả bảo vệ lại giảm dần. Vì vậy AWS cho rằng cần chủ động chuyển sang các phiên bản LTS mới hơn thay vì cố bám trụ với nhánh cũ.

Ý nghĩa với doanh nghiệp và cộng đồng vận hành Linux

Chia sẻ của AWS mang lại vài gợi ý thực tiễn cho các đội DevOps và bảo mật tại Việt Nam:

• Tự động hóa bước lọc các CVE không liên quan để giảm tải cho đội ngũ vốn mỏng.
• Thử nghiệm AI agent ở vai trò hỗ trợ, luôn giữ bước kiểm duyệt của con người với các quyết định vá lỗi.
• Lập kế hoạch nâng cấp nhân định kỳ, tránh để hệ thống mắc kẹt ở nhánh LTS quá cũ.
• Theo dõi sát các bản vá không được backport, vì đây là rủi ro khó phát hiện nếu chỉ dựa vào thông báo CVE.

Với các doanh nghiệp đang vận hành hệ thống quy mô lớn trên nền tảng đám mây, việc xem quy trình của AWS như một hình mẫu tham khảo có thể giúp xây dựng quy trình xử lý lỗ hổng vừa nhanh vừa có kiểm soát.