Sóng Lỗ Hổng Do AI Gây Ra Đang Phá Vỡ Mô Hình Vá Lỗi Truyền Thống

Phân tích mới từ Rapid7 cho thấy rõ sự sai lầm của các nhà bảo mật khi vẫn tiếp tục dựa vào việc vá lỗi để giải quyết vấn đề. Báo cáo "Kỷ nguyên nén" (The Compression Era) của họ chỉ ra rằng các chu kỳ vá lỗi truyền thống đang bị áp đảo bởi khối lượng lỗ hổng khổng lồ cùng tốc độ và độ chính xác ngày càng cao của kẻ tấn công. Giải pháp không còn nằm ở phản ứng, mà là giảm thiểu bề mặt phơi nhiễm.

Sức ép từ AI làm thay đổi cục diện an ninh mạng

Rapid7 mô tả quý 2/2026 không chỉ là một quý bận rộn trong lĩnh vực an ninh mạng mà còn giống như một bài kiểm tra sức chịu đựng đối với cách quản lý rủi ro hiện tại. Theo báo cáo, lỗ hổng đang được tiết lộ với số lượng lớn hơn, mã khai thác thử nghiệm (PoC) xuất hiện nhanh hơn, và kẻ tấn công giỏi hơn trong việc biến thông tin công khai thành truy cập thực tế.

Đứng sau sức ép này chính là trí tuệ nhân tạo (AI). Số lượng lỗ hổng ở mức cao và nghiêm trọng (CVSS 7-10) đã tăng gấp đôi từ 4.268 lên 8.539 so với cùng kỳ năm trước. Tuy nhiên, số lỗ hổng bị khai thác mới chỉ tăng 8% lên 40 trường hợp. Sự chênh lệch lớn này cho thấy việc phát hiện và khai thác là hai vấn đề hoàn toàn khác nhau.

"AI có thể làm cả hai việc (phát hiện và khai thác), nhưng kẻ tấn công không thể sử dụng exploit nếu mục tiêu nằm sau nhiều lớp tường lửa và các cơ chế phòng thủ khác" — Christiaan Beek, Phó Chủ tịch tình báo mạng tại Rapid7.

Mối đe dọa từ "vibe coding" và sự bất đối xứng tấn công - phòng thủ

Một nguyên nhân khiến số lượng lỗ hổng từ AI khó giảm là sự phát triển của các ứng dụng mới liên tục, thường đi kèm lỗ hổng mới. Đặc biệt, xu hướng "vibe coding" (lập trình bằng AI theo lời mô tả tự nhiên) đang tạo ra vấn đề nghiêm trọng:

• Nghiên cứu cho thấy các ứng dụng tài chính được tạo bằng vibe coding thường chứa cùng một loại lỗ hổng, vì AI sử dụng các mẫu mã cũ với những sai lầm cũ.
• Điều này tạo ra các lỗ hổng mới trong mã nguồn mới, và sau đó lại bị chính các công cụ quét AI mới phát hiện ra.

Sự bất đối xứng giữa tấn công và phòng thủ ngày càng rõ rệt. Kẻ tấn công chỉ cần tìm một điểm yếu duy nhất, trong khi người phòng thủ phải bảo vệ rất nhiều thứ — từ endpoint cổ điển như laptop, máy chủ, tường lửa cho đến các tương tác qua API và chuỗi cung ứng. Sự phụ thuộc vào nhiều nhà cung cấp khác nhau khiến việc theo dõi và bảo vệ trở nên khó khăn hơn nhiều so với kẻ tấn công.

Rủi ro bảo mật API

Lỗ hổng "Chén Thánh" và làn sóng tấn công từ quốc gia

Rapid7 ghi nhận sự gia tăng của các lỗ hổng "Holy Grail" — loại lỗ hổng không yêu cầu thông tin xác thực hoặc tương tác từ người dùng. Các lỗ hổng này đã tăng 9 điểm so với cùng kỳ năm ngoái, hiện chiếm 25/40 lỗ hổng bị khai thác trong quý 2/2026.

"Kẻ tấn công có thể thực thi mã gần một thiết bị hoặc sản phẩm mà không cần bất kỳ hình thức xác thực nào — đó là một lỗ hổng nghiêm trọng" — Christiaan Beek nhấn mạnh.

Hoạt động dai dẳng của các nhóm APT từ các quốc gia như Trung Quốc, Nga, Iran và Triều Tiên (gọi tắt là CRINK) cũng được đề cập. Tuy nhiên, Beek cho rằng các APT quốc gia không tiên tiến hơn các băng đảng tội phạm tài chính:

• 99% động cơ của APT quốc gia là gián điệp dài hạn, số còn lại có thể là phá hoại.
• Họ có kỹ năng, ngân sách và nguồn lực để phát triển các công cụ tinh vi hơn nhiều so với tội phạm mạng thông thường.
• Tội phạm mạng chỉ cần quyền truy cập có thể mua được, xâm nhập, đánh cắp và rời đi.

Ransomware và bài toán giảm phơi nhiễm

Ransomware vẫn là phương thức kiếm tiền chính, với Mỹ là mục tiêu hàng đầu (881 nạn nhân), tiếp theo là Đức (91 nạn nhân) — con số chênh lệch rất lớn. Các nhóm ransomware hoạt động mạnh nhất gồm Qilin, The Gentlemen, DragonForce, Akira và LockBit, nhắm vào các lĩnh vực dịch vụ kinh doanh (23,5%), y tế (22%), sản xuất (21%), công nghệ (16,9%) và xây dựng (16,6%).

Phân bố ransomware theo khu vực

Trước thực tế này, Rapid7 khuyến nghị các nhà bảo mật cần thay đổi tư duy từ phản ứng sang chủ động. Thay vì chỉ dựa vào điểm CVSS, họ cần tập trung vào mức độ phơi nhiễm — xác định vị trí lỗ hổng trong mạng nội bộ và tác động tiềm ẩn nếu bị khai thác.

Quy trình tiết lộ lỗ hổng

"Theo truyền thống, chúng ta nhìn lỗ hổng qua lăng kính điểm CVE. Thời đó đã qua. Nếu bạn vẫn tin vào chu kỳ vá lỗi hàng tháng, hãy quên nó đi. Cách đó không còn hiệu quả nữa" — Christiaan Beek khẳng định.

Điểm mấu chốt: các nhà bảo mật cần hiểu rõ khu vực nào trong mạng của mình có thể bị tấn công và liên tục giảm thiểu bề mặt phơi nhiễm đó, thay vì cố gắng vá tất cả các lỗ hổng trong một chu kỳ nhất định.