AI rút ngắn thời gian khai thác lỗ hổng, thúc đẩy ngân sách cho BAS và kiểm thử tự động
"The article argues that AI has compressed the discovery-to-exploit window for vulnerabilities from months to hours, making traditional vulnerability management and CVSS-based patch prioritization less effective. It cites large-scale AI-assisted vulnerability discovery, faster time-to-exploit, and slower remediation, then positions Breach and Attack Simulation (BAS) and autonomous validation as a way to determine what is actually exploitable and whether existing controls would block or detect it."
Tác động chính là làm giảm đáng kể TTE và tăng tốc độ vũ khí hóa, khiến triage theo CVSS kém phản ánh rủi ro. BAS giúp xác thực kiểm soát và chỉ ra phần còn “hở” trong bối cảnh thực tế.
Doanh nghiệp có thể đối mặt với áp lực vá nhanh hơn nhưng thời gian khắc phục thực tế vẫn dài do kiểm thử hồi quy và quy trình thay đổi. BAS hỗ trợ ra quyết định theo bằng chứng để giảm rủi ro và tối ưu nguồn lực.
Bài viết cho rằng AI làm “vỡ” mô hình quản lý lỗ hổng truyền thống vì rút ngắn mạnh discovery-to-exploit từ “vài tháng” xuống “vài giờ”. Khi cửa sổ time-to-exploit (TTE) co lại, việc ưu tiên vá dựa trên CVSS và quy trình triage theo mức độ nghiêm trọng trở nên kém hiệu quả hơn trong việc phản ánh rủi ro thực tế.
Bài dẫn các ví dụ về quy mô phát hiện: theo cập nhật May 2026, Anthropic và khoảng 50 đối tác dùng Claude Mythos Preview để tìm 10.000+ lỗ hổng mức high/critical trong một tháng; riêng với Firefox, mô hình gated ghi nhận 181 exploit hoạt động so với 2 ở “frontier model” trước đó. Đồng thời, dữ liệu từ AWS (tháng Feb 2026) cho thấy kịch bản tấn công có thể được tự động hóa qua một custom MCP server, không cần zero-day.
Về phía khai thác, bài trích Zero Day Clock: TTE trung bình năm 2026 khoảng 24 giờ (giảm từ ~53 ngày năm 2024). Verizon DBIR 2026 cũng ghi nhận xu hướng tăng tỷ lệ initial access gắn với khai thác lỗ hổng và thời gian khắc phục có dấu hiệu chậm lại.
Khuyến nghị chiến lược là chuyển trọng tâm sang Breach and Attack Simulation (BAS) và autonomous validation: mô phỏng TTP thực tế để kiểm tra kiểm soát phòng thủ (WAF/IPS/EDR), xác định gì “thực sự khai thác được” trong môi trường của doanh nghiệp, và hỗ trợ ưu tiên giảm thiểu theo bằng chứng thay vì chỉ theo điểm số.