Sau khi AI giúp phát hiện lỗ hổng PHP, giới chuyên gia cảnh báo làn sóng sự cố bảo mật và tấn công mạng có thể gây khủng hoảng thời gian tới.
“Tôi nghĩ từ giờ đến vài năm tiếp theo, có những tuần chúng ta sẽ nếm trải cảm giác bầu trời sắp sụp xuống”, Matthew Prince, CEO Cloudflare viết trên X hôm 23/10. “Hai năm tới sẽ vô cùng căng thẳng, khi những công cụ mới có khả năng ‘kiên nhẫn vô hạn’ trong việc tìm kiếm lỗ hổng bảo mật trên toàn bộ Internet”.
Nhiều công ty và chính phủ trên toàn thế giới vẫn đang bận rộn kiểm tra hệ thống và cập nhật bản vá liên quan tới ngôn ngữ lập trình PHP sau khi hai lỗ hổng PHP2Shell được công khai ngày 21/10. Cả hai được ít nhất ba tổ chức độc lập phát hiện, gồm startup Calif Research và OpenAI dùng GPT-5.6 Sol, còn Google sử dụng Gemini 4 Argon để tìm ra.
Với mức độ nghiêm trọng cao, cả Guardian và Business Insider cùng gọi đây là “tháng 10 đen tối” với an ninh mạng. Trong khi đó, ngoài Matthew Prince, hàng loạt chuyên gia trong ngành đồng loạt cảnh báo mọi thứ chưa dừng lại.
“Tôi không nghĩ chúng ta có thể vá hết tất cả các lỗ hổng nữa”, CEO OpenAI Sam Altman viết trên X ngày 23/10.
Minh họa hacker khai thác lỗ hổng PHP. Ảnh: ChatGPT/Bảo Lâm
Theo Jason Clinton, Phó giám đốc an ninh thông tin của Anthropic, trong vài tháng tới, lĩnh vực an ninh mạng sẽ chứng kiến “làn sóng lỗ hổng bảo mật dữ dội”.
“Sẽ không đủ thời gian để vá các lỗ hổng cơ sở hạ tầng quan trọng”, Clinton viết trên X ngày 24/10. Marc Benioff, CEO Salesforce, cũng đồng ý và gọi đây là “tình trạng báo động đỏ”.
Theo Reuters, mã nguồn phần mềm ngày càng phức tạp, khiến lỗi lập trình (bug) có thể tạo lỗ hổng ở những vị trí khó lường. Trước đây, sau khi phát hiện lỗi, tin tặc có thể cần nhiều tuần, thậm chí nhiều tháng, để tạo công cụ khai thác. Khoảng thời gian này giúp đội ngũ bảo mật có thêm thời gian khắc phục và phát hành bản vá.
AI đang thay đổi quy trình đó, khi các mô hình liên tục rà soát mã nguồn, tìm lỗi và xác định lỗ hổng chỉ trong vài giờ. Theo Shane Fry, Giám đốc công nghệ của RunSafe Security (Mỹ), hiệu quả của AI những tháng qua cho thấy khả năng làm thay đổi ngành an ninh mạng.
“Điều chắc chắn đang thay đổi, là thời gian phát hiện lỗ hổng và tốc độ đối thủ có thể biến chúng thành vũ khí”, Fry nói với Reuters.
Dù vậy, một số chuyên gia nhìn nhận vấn đề bị thổi phồng. Daniel Stenberg, nhà phát triển công cụ truyền tải dữ liệu Curl, đánh giá các lỗ hổng AI tìm thấy thường là lỗi hiếm gặp, rất khó lợi dụng. Ramy Rahman, kỹ sư tại ArmorCode, cũng cho rằng “việc phát hiện nhiều lỗ hổng hơn không đồng nghĩa nhiều vụ tấn công thành công hơn”.
Giải quyết “rác” của chính con người
Theo Business Insider, việc AI tìm ra lỗ hổng trên PHP đang gây rối loạn trên toàn cầu, khi hàng loạt website và dịch vụ của nhiều chính phủ, tổ chức, doanh nghiệp… chủ động đóng cửa để hạn chế mức độ tác động trong lúc cập nhật phiên bản mới nhất.
“Thoạt nhìn, AI như kẻ phản diện”, trang này bình luận. “Nhưng thực tế, phần lớn mớ hỗn độn này do con người tạo ra”.
Cụ thể, Internet hoạt động hàng thập kỷ qua dựa trên các loại phần mềm, và không ít trong đó chứa lỗ hổng bảo mật “bị bỏ qua, lãng quên hoặc đơn giản không được khắc phục”. Trong nhiều năm, đây vốn là “canh bạc” có thể kiểm soát, do việc khai thác lỗ hổng bảo mật ít người biết đến không dễ dàng, đòi hỏi chuyên môn cao.
AI đang thay đổi điều đó. Một lỗ hổng cần người nhiều năm đào tạo an ninh mạng tìm ra giờ đây lại chỉ cần một mô hình AI. Đột nhiên, tất cả vấn đề đã bị phớt lờ bỗng trở nên cấp bách hơn.
Từ khi mô hình AI bùng nổ, số lỗ hổng bảo mật được công bố cũng tăng đột biến. Theo CVE Program, riêng năm nay, lượng lỗ hổng tìm thấy tăng “dựng đứng” từ khoảng 4.000 lên hơn 15.000, tức hơn 275%.
Số lỗ hổng bảo mật được phát hiện tăng “dựng đứng” năm 2026. Nguồn: CVE Program
Theo giới chuyên gia, thoạt nhìn AI đang tạo ra vấn đề an ninh mới. Nhưng thực chất, công nghệ đang phơi bày những điểm yếu mà con người để lại. “Trớ trêu là mọi người lo AI gây khủng hoảng an ninh mạng, nhưng chính lỗi lập trình cũ của con người mới là nguyên nhân, còn AI đang dọn dẹp chúng”, kỹ sư phần mềm Ben Kaufman viết trên X.
“Con người đã viết và xem code của nhau trong nhiều thập kỷ”, nhà sáng lập công nghệ Anant Jain cho hay. “Nếu thành thật về mặt trí tuệ và tự đặt tiêu chuẩn tương tự cho bản thân như đối với AI, có lẽ phải thừa nhận chúng ta cũng không giỏi”.
Một số chuyên gia khác cho rằng trên Internet, hầu hết tài nguyên miễn phí, nhưng trách nhiệm bảo vệ lại không tương xứng. Chẳng hạn, PHP là nền tảng của khoảng 70% trang web và ứng dụng, nhưng chỉ được duy trì bởi một tổ chức phi lợi nhuận nhỏ, chỉ có một giám đốc kiêm nhân viên. Tom Occhino, Giám đốc sản phẩm của Vercel, đánh giá đây là “một phần của thảm kịch tài nguyên chung, khi mọi người cùng hưởng lợi nhưng không ai có đủ động lực để chịu trách nhiệm bảo vệ”.
Occhino đề xuất thành lập một tổ chức hoặc liên minh tài trợ việc phát hiện phần mềm có lỗ hổng và thay thế bằng giải pháp an toàn hơn. Các công ty có thể đóng góp năng lực tính toán và công cụ AI cho nỗ lực này. “Đó là cách ứng phó phù hợp hơn thay vì hoảng loạn trước nguy cơ Internet sụp đổ”, ông nói. “AI không phải nguyên nhân. Chính con người đã để cho tình trạng kéo dài. Đã đến lúc chúng ta tự dọn dẹp mớ hỗn độn”.
Bảo Lâm tổng hợp
- Tình cảnh ‘giám đốc kiêm nhân viên’ tại tổ chức PHP
- 48 tiếng không ngủ của giới an ninh mạng
- AI đang làm đảo lộn giới an ninh mạng thế nào
- Ngày tồi tệ của Internet