AI Big Sleep của Google bắt đầu tạo dấu ấn trong săn lỗi bảo mật

Trong thông báo mới đây, Heather Adkins, phó chủ tịch bộ phận an ninh của Google, cho biết Big Sleep đã tìm ra và báo cáo 20 lỗ hổng trong các phần mềm mã nguồn mở phổ biến.

AI có thể phát hiện các lỗ hổng

Được phát triển bởi DeepMind — bộ phận AI hàng đầu của Google — kết hợp với đội ngũ hacker tinh nhuệ Project Zero, Big Sleep là sản phẩm kết tinh giữa sức mạnh của các mô hình ngôn ngữ lớn (LLM) và kinh nghiệm thực chiến trong lĩnh vực săn lỗi bảo mật. Các lỗ hổng được phát hiện phần lớn nằm trong những thư viện quan trọng như FFmpeg (dùng cho xử lý âm thanh và video) và ImageMagick (phục vụ chỉnh sửa ảnh).

Tuy chi tiết về mức độ nghiêm trọng và tác động cụ thể của các lỗi này chưa được công bố — do chúng vẫn đang chờ được khắc phục — nhưng việc một công cụ AI có thể phát hiện được các lỗ hổng bảo mật thực sự, có thể tái tạo lại được và đủ điều kiện để báo cáo, đã là một bước tiến lớn. Đáng chú ý, đại diện Google xác nhận rằng mỗi lỗ hổng đều được Big Sleep phát hiện và kiểm chứng hoàn toàn tự động, chỉ có con người tham gia ở bước cuối để đảm bảo báo cáo rõ ràng và chất lượng.

Royal Hansen, Phó chủ tịch kỹ thuật của Google, đã mô tả đây là “một ranh giới mới trong việc tự động hóa phát hiện lỗ hổng bảo mật” — một nhận định không phải không có cơ sở. Trong bối cảnh lĩnh vực an ninh mạng ngày càng phức tạp và nhiều đe dọa, việc AI có thể chủ động tìm lỗi mà trước đây đòi hỏi con người tốn hàng giờ phân tích là điều cực kỳ đáng giá.

Big Sleep không đơn độc trong cuộc đua này. Các công cụ khác như RunSybil hay XBOW cũng đang bắt đầu gây chú ý. XBOW từng vươn lên dẫn đầu bảng xếp hạng phát hiện lỗi tại nền tảng HackerOne — một chiến tích minh chứng cho tiềm năng rất thật của công nghệ này. Tuy vậy, điểm chung giữa các công cụ này là đều cần sự kiểm tra cuối cùng của con người để xác nhận rằng lỗi được tìm thấy là thật, chứ không phải là “ảo giác” do AI tạo ra — một hiện tượng ngày càng phổ biến.

Thực tế, trong khi AI như Big Sleep tỏ ra cực kỳ hứa hẹn, thì cộng đồng phát triển phần mềm cũng đang đối mặt với những rắc rối từ chính các công cụ này. Một số lập trình viên và người duy trì dự án đã lên tiếng than phiền về những báo cáo lỗi giả — sản phẩm của những “ảo giác” AI, khiến họ mất thời gian và công sức để kiểm tra thứ tưởng chừng như là “vàng” nhưng hóa ra chỉ là “rác”.

Kỳ vọng kỷ nguyên mới

Vlad Ionescu, đồng sáng lập và giám đốc công nghệ của RunSybil, gọi Big Sleep là một dự án “đáng nể” bởi nó hội tụ mọi yếu tố: thiết kế tốt, đội ngũ phát triển chuyên sâu, kinh nghiệm thực chiến từ Project Zero và sức mạnh tính toán khổng lồ từ DeepMind. Nhưng ngay cả ông cũng thừa nhận, việc phân biệt giữa phát hiện giá trị thực và những “ảo giác được trình bày đẹp mắt” vẫn là một thách thức lớn.

Sự kiện Big Sleep lần đầu công bố kết quả là dấu hiệu cho thấy kỷ nguyên mới của săn lỗi bảo mật đang mở ra — nơi trí tuệ nhân tạo không chỉ là công cụ hỗ trợ, mà bắt đầu đảm nhiệm những vai trò chủ động, với tiềm năng thay đổi toàn bộ cách thức bảo vệ hệ thống phần mềm trong tương lai. Tuy nhiên, khả năng tạo ra lỗi ảo cũng đặt ra yêu cầu cấp thiết: phải có cơ chế kiểm định rõ ràng và sự giám sát kỹ lưỡng từ con người để AI không trở thành “kẻ nói dối thuyết phục”.

Như vậy, Big Sleep có thể xem là bước đầu thành công, nhưng cũng là lời nhắc nhở rằng sự kết hợp giữa AI và con người vẫn là chìa khóa trong hành trình chinh phục các thách thức bảo mật của thời đại số.

Bùi Tú