AI làm thay đổi cách ưu tiên lỗ hổng
"The article argues that AI is accelerating vulnerability discovery faster than defenders can triage, making CVSS-only prioritization insufficient. It emphasizes that organizations need validation based on exploitability, security control effectiveness, and agentic pentesting to determine which exposures are actually reachable and impactful in their environment, rather than treating every high-severity CVE as an emergency."
Giúp giảm rủi ro từ việc ưu tiên sai; xác minh khả năng khai thác thực tế và hiệu quả kiểm soát bảo mật thay vì chỉ dựa vào điểm CVSS.
Có thể cải thiện hiệu quả vận hành an ninh bằng cách giảm nhiễu cảnh báo và tập trung nguồn lực vào tài sản quan trọng nhất, nhưng cần đầu tư thêm vào quy trình và công cụ xác thực.
Bài viết cho rằng AI đang làm tốc độ phát hiện lỗ hổng tăng nhanh hơn khả năng phân loại của đội phòng thủ, khiến cách ưu tiên chỉ dựa trên CVSS không còn đủ. Trong 6 tháng đầu năm 2026, có 35.853 CVE được công bố, nhưng chỉ 495 lỗ hổng được ghi nhận là bị khai thác ngoài thực tế; 116 trong số đó đã bị tấn công ngay khi công bố. Dữ liệu này cho thấy không phải mọi CVE mức High/Critical đều cần xử lý như một tình huống khẩn cấp.
Tác giả nhấn mạnh cần xác minh theo bối cảnh môi trường thực tế: lỗ hổng có khả năng khai thác hay không, tài sản nào bị ảnh hưởng, và các kiểm soát bảo mật có thực sự chặn hoặc phát hiện được tấn công hay không. Automated pentesting và agentic pentesting có thể chứng minh đường tấn công thực tế, nhưng không thể kiểm tra mọi tài sản, đặc biệt với hệ thống nhạy cảm hoặc air-gapped.
Khuyến nghị kỹ thuật là kết hợp exploitability validation, security control validation và agentic pentesting trong cùng quy trình ưu tiên. Cách này giúp tổ chức tập trung vào các exposure thực sự có thể tiếp cận và gây tác động, thay vì xử lý đồng loạt mọi cảnh báo theo điểm số.