AI phát hiện quá nhiều lỗ hổng bảo mật, Google Chrome phát hành bản vá 2 lần/tuần

AI giúp Google Chrome phát hiện 1.072 lỗ hổng bảo mật trong tháng 6

Trình duyệt Google Chrome từ lâu đã chú trọng việc phát hành các bản cập nhật bảo mật. Cách đây một thập niên, việc Google Chrome trở thành trình duyệt đầu tiên áp dụng cơ chế cập nhật tự động và phát hành bản vá 6 tuần một lần từng gây tranh cãi. Hiện nay, việc các phần mềm quan trọng và được sử dụng rộng rãi nhận bản vá bảo mật vài tuần một lần đã trở thành điều bình thường.

Tuy nhiên, khi AI được sử dụng để tìm lỗ hổng và liên tục phát hiện thêm các lỗi trong nhiều loại phần mềm, số lượng cũng như tần suất phát hành bản vá đang tăng mạnh. Vì thế, các hãng công nghệ phải chạy đua để khắc phục và cung cấp bản vá cho người dùng nhanh nhất có thể.

Theo báo cáo được đội ngũ bảo mật Chrome, hai phiên bản lớn Chrome 149 và Chrome 150 được phát hành trong tháng 6 đã sửa 1.072 lỗ hổng bảo mật, nhiều hơn tổng số lỗi được xử lí trong 23 phiên bản lớn trước đó cộng lại.

Nhiều lỗ hổng trong số này được các nhà nghiên cứu bên ngoài phát hiện và báo cáo. Tuy nhiên, sự gia tăng đột biến này chủ yếu do đội ngũ bảo mật Chrome ngày càng sử dụng các công cụ AI để phát hiện lỗ hổng, phân loại và đánh giá mức độ nghiêm trọng, cũng như hỗ trợ phát triển bản vá.

Bà Parisa Tabriz, Phó chủ tịch kiêm Tổng giám đốc Chrome, nói với tạp chí WIRED rằng Chrome đã sử dụng công nghệ học máy để hỗ trợ phát hiện lỗ hổng và tự động hóa hoạt động kiểm thử bảo mật bằng kỹ thuật fuzzing từ ít nhất năm 2012, tức trước cả khi thuật ngữ "AI" trở nên phổ biến.

Google cho biết đội ngũ Chrome đã sử dụng các mô hình ngôn ngữ lớn trong nhiều năm để hỗ trợ tìm kiếm lỗ hổng. Năm 2023, Google phát triển các phương pháp sử dụng mô hình ngôn ngữ lớn nhằm mở rộng phạm vi và nâng cao hiệu quả của hoạt động fuzzing.

Năm 2024, Google hợp tác với Project Zero phát triển Naptime, khung nghiên cứu bảo mật sử dụng mô hình ngôn ngữ lớn để hỗ trợ tự động tìm và phân tích lỗ hổng phần mềm.

Đến năm 2025, Google tiếp tục phối hợp với DeepMind và Project Zero phát triển Big Sleep, tác tử AI có khả năng tự tìm lỗ hổng.

Đầu năm 2026, đội ngũ Chrome xây dựng một hệ thống tác tử AI sử dụng Gemini để tìm kiếm lỗ hổng trên phạm vi rộng hơn trong mã nguồn Chrome, với hiệu quả cao hơn và ít báo động sai hơn.

“Đó là một phần rất quan trọng trong cách chúng tôi tìm ra lỗ hổng và hỗ trợ các nhà phát triển. Thế nhưng, tôi cho rằng năm nay thực sự rất khác. Đây giống như một bước ngoặt với cả bên tấn công lẫn bên phòng thủ”, Parisa Tabriz nhấn mạnh.

Chrome đang hướng tới mô hình mới, trong đó mỗi hai tuần phát hành một phiên bản lớn, đi kèm các bản cập nhật bảo mật bổ sung hàng tuần.

Tuy nhiên, tốc độ phát hiện lỗ hổng thời gian gần đây tăng quá nhanh, trong khi đội ngũ bảo mật Chrome cũng đạt được nhiều kết quả tích cực khi tích hợp các mô hình AI mới và những khả năng mới của AI vào quy trình tìm kiếm, phân tích, sửa lỗi. Do đó, Google đang thử nghiệm phát hành bản cập nhật bảo mật 2 lần mỗi tuần.

Google huấn luyện mô hình AI để biết mọi lỗ hổng bảo mật từng phát hiện

Ông Doug Turner, Giám đốc kỹ thuật tại Chrome, cho biết: “Chúng tôi đi đến quyết định này vì có quá nhiều lỗ hổng cần được sửa. Do đó, việc cung cấp hai bản cập nhật mỗi tuần trong giai đoạn này là phương án hợp lý nhất. Liệu điều đó có kéo dài mãi hay không? Chẳng ai biết”.

Giống nhiều nhà nghiên cứu bảo mật khác, Doug Turner cho rằng có những dấu hiệu cho thấy làn sóng dùng AI săn tìm lỗ hổng có thể không kéo dài mãi.

Với những sản phẩm trưởng thành và ổn định như Chrome, số lượng lỗ hổng mới được phát hiện dường như sẽ giảm dần sau khi phần lớn các lỗi có thể tìm thấy bằng AI đã được xử lí. Một phần nguyên nhân là các mô hình AI có thể được huấn luyện để hiểu rất sâu về quá trình phát triển của một dự án phần mềm trong nhiều năm.

“Chúng tôi đang huấn luyện mô hình AI để biết mọi lỗ hổng bảo mật mà chúng tôi từng phát hiện. Mọi CVE và mọi lỗi, mô hình AI đều biết. Điều thực sự thú vị thứ hai là mô hình AI biết từng dòng mã trong lịch sử phát triển Chromium và biết lí do tại sao dòng mã đó được thay đổi”, Doug Turner tiết lộ.

Lượng thông tin này cho phép các công cụ AI nhanh chóng tập trung vào những điểm có khả năng tồn tại lỗ hổng trong hệ thống mã nguồn khổng lồ và phức tạp của Chrome.

Điều này cũng áp dụng với những tính năng không còn được phát triển tích cực, chẳng hạn chức năng in ấn, vốn có thể không còn nhận được nhiều sự chú ý từ các kỹ sư bảo mật như trước.

Parisa Tabriz và Doug Turner cũng nhấn mạnh rằng đội ngũ bảo mật Chrome không chỉ chạy theo cách tiếp cận “phát hiện lỗi rồi vá lỗi” liên tục. Họ còn tập trung mạnh vào việc thay đổi cấu trúc của trình duyệt để ngăn chặn cả một nhóm lỗi ngay từ đầu.

Một ví dụ là Google đang chuyển đổi một số phần mã C++ sang Rust, một ngôn ngữ lập trình có cơ chế quản lí bộ nhớ an toàn hơn. Mục tiêu là loại bỏ tận gốc những nhóm lỗi phổ biến liên quan đến bộ nhớ, thay vì chỉ lần lượt vá từng lỗi sau khi chúng được phát hiện.

Trạng thái cân bằng mới

Parisa Tabriz cho rằng làn sóng phát hiện lỗ hổng hiện nay có thể chỉ là một giai đoạn tăng đột biến trước khi ngành công nghệ hình thành trạng thái cân bằng mới.

Theo Parisa Tabriz, việc đưa AI vào quy trình phát triển phần mềm sẽ ngày càng quan trọng với toàn ngành, đặc biệt là những người chịu trách nhiệm xây dựng và đảm bảo an toàn cho phần mềm.

“Mong muốn lớn nhất của tôi là mọi thứ sẽ trở nên an toàn hơn. Thế nhưng, tôi không cho rằng mọi thứ đơn giản sẽ tốt lên. Tôi cũng không nghĩ những lợi ích đó sẽ đến mà không phải trả giá”, bà nói thêm.