Khi AI phơi bày nền tảng mong manh của internet

Một lỗ hổng trong ngôn ngữ lập trình mã nguồn mở PHP đã buộc vô số chủ trang web phải vá khẩn cấp hoặc tạm đóng cửa site. Sự cố này không chỉ là một cuộc khủng hoảng bảo mật đơn thuần, mà còn phơi bày sự thật rằng nền tảng của internet vốn được dựng nên từ những mảnh ghép cũ kỹ và mong manh — và AI đang khiến việc tìm ra điểm yếu trở nên dễ dàng hơn bao giờ hết.

Một lỗ hổng tồn tại hàng chục năm

Điều đáng chú ý nhất trong sự cố lần này là lỗ hổng không hề mới. Nó đã tồn tại trong PHP từ nhiều thập kỷ trước nhưng không ai phát hiện ra. Và PHP chính là ngôn ngữ đứng sau phần lớn các hệ quản trị nội dung như WordPress hay Drupal — ước tính khoảng 70% trang web trên toàn thế giới, tức hàng chục triệu site, phụ thuộc vào nó.

Vấn đề nảy sinh khi các nhóm nghiên cứu, trong đó có các chuyên gia tham gia chương trình Hack the Planet của OpenAI và Wiz (nay thuộc Google), tìm ra lỗ hổng và sử dụng chính AI để khai thác thử nghiệm.

"Khi bạn đi xuống tận cùng cấu trúc của internet, nó chỉ được gắn lại với nhau bằng keo và những giấc mơ." — Sean O'Kane, TechCrunch

Logic rất đơn giản nhưng đáng sợ: nếu họ có thể tìm ra lỗ hổng bằng mô hình ngôn ngữ lớn (LLM), thì người khác cũng vậy. Nhưng cách duy nhất để phát hành bản vá là phải công bố lỗ hổng — và điều đó tạo ra một cuộc chạy đua hỗn loạn giữa những kẻ tấn công và những người phòng thủ.

Hệ quả thực tế: link chết và những trang web biến mất

Khi không kịp vá, nhiều tổ chức, doanh nghiệp và cả các trang web nhỏ đã chọn cách đóng cửa tạm thời. Kirsten Korosec của TechCrunch chỉ ra một hệ quả ít được chú ý: link rot (hiện tượng liên kết chết). Những trang web chứa các mẩu lịch sử, tư liệu quý giá có thể biến mất vĩnh viễn thay vì được khắc phục.

Bà cũng đặt câu hỏi lớn hơn:

• Còn bao nhiêu phần mềm cũ kỹ, lỗi thời khác đang ẩn mình trong hạ tầng internet và chờ bị khai thác?
• Những tổ chức có nguồn lực như Amazon có thể dựng mạng honeypot để phát hiện sớm các nỗ lực tấn công, nhưng hàng triệu trang web và thậm chí cả website chính phủ thì không có điều kiện đó.

Theo CEO Cloudflare Matthew Prince, các nỗ lực tấn công nhắm vào lỗ hổng này đã leo thang lên tới hàng triệu lần thử chỉ trong thời gian ngắn.

AI: con dao hai lưỡi của an ninh mạng

Câu chuyện này đánh dấu một bước ngoặt trong lĩnh vực an ninh mạng. Trước đây, quy trình tiết lộ lỗ hổng thường diễn ra kín đáo: chuyên gia báo riêng cho nhà phát triển, bản vá được tung ra trước khi thông tin lan rộng. Nhưng với một thành phần nền tảng như PHP, không có cách nào để thông báo kín đáo cho tất cả mọi người.

Kirsten Korosec lo ngại về kịch bản cực đoan hơn: nếu AI tiếp tục được sử dụng để tấn công, các ngân hàng có thể bị khai thác, kéo theo những rủi ro về dữ liệu và quyền riêng tư vượt xa khả năng xử lý hiện tại.

Tuy vậy, cuộc khủng hoảng này cũng có thể mở ra cơ hội:

• Sự xuất hiện của các startup chuyên về bảo mật AI
• Nhu cầu lớn hơn với các công cụ mã nguồn mở tạo lớp phòng thủ, như những giải pháp do Nvidia và các hãng khác cung cấp
• Áp lực hiện đại hóa hạ tầng web toàn cầu

Bài học cho cộng đồng công nghệ Việt Nam

Với các doanh nghiệp và lập trình viên Việt Nam, đặc biệt là những đơn vị vận hành website bằng WordPress — vốn rất phổ biến trong khối doanh nghiệp vừa và nhỏ — sự cố này là lời nhắc nhở trực tiếp:

• Luôn cập nhật bản vá bảo mật cho PHP, CMS và các thư viện phụ thuộc, không trì hoãn.
• Kiểm kê hạ tầng web để biết chính xác website của mình chạy trên công nghệ gì, phiên bản nào.
• Xây dựng quy trình ứng phó sự cố thay vì đối phó thụ động khi có cảnh báo khẩn.
• Cân nhắc các giải pháp WAF (tường lửa ứng dụng web) và giám sát bất thường để phát hiện sớm các nỗ lực khai thác.

Internet được xây dựng trên những nền tảng mã nguồn mở vĩ đại nhưng cũng đầy rủi ro. Khi AI hạ thấp rào cản cho cả người phòng thủ lẫn kẻ tấn công, việc chủ động bảo vệ hạ tầng không còn là lựa chọn — mà là điều kiện sống còn.