Rủi ro thực sự nằm ở “cửa sổ phơi nhiễm” giữa lúc lộ khai thác và lúc vá
"The article argues that AI-driven vulnerability discovery, including Anthropic's Mythos, is not the core problem; the real risk is the exposure window between exploitability and remediation. It cites 2025 breakout times of 29 minutes, 2025 disclosure volume of 48,185 CVEs, and remediation delays averaging 55 days for high/critical application vulnerabilities, then recommends shifting from CVSS-first patching to exploitability- and asset-context-driven mobilization and attack path analysis to reduce blast radius."
Tác động bảo mật chủ yếu đến từ việc exposure window còn quá rộng: 29 phút để kẻ tấn công khai thác so với 55 ngày để khắc phục làm tăng khả năng xảy ra xâm nhập. Bài viết nhấn mạnh cần ưu tiên theo exploitability và ngữ cảnh tài sản để giảm blast radius.
Nếu không rút ngắn thời gian từ phát hiện đến khắc phục, các hệ thống quan trọng có thể bị ảnh hưởng kéo dài, làm tăng rủi ro gián đoạn vận hành. Việc chuyển sang attack path analysis giúp giới hạn phạm vi huy động, giảm chi phí và độ phức tạp khi xử lý tồn đọng lỗ hổng.
Bài viết cho rằng việc AI-driven vulnerability discovery (bao gồm Mythos) không phải là nguyên nhân cốt lõi khiến chương trình bảo mật “vỡ”. Thách thức chính nằm ở exposure window: khoảng thời gian giữa lúc lỗ hổng trở nên khai thác được và lúc tổ chức hoàn tất khắc phục. Khi kẻ tấn công có thể hành động trong phút, còn quy trình vá thường kéo dài, rủi ro chuyển từ “có phát hiện được hay không” sang “có đóng được cửa sổ kịp thời hay không”.
Bài viết nêu các mốc: năm 2025 thời điểm eCrime breakout trung bình giảm còn 29 phút; khối lượng công bố 48.185 CVEs trong 2025 (tăng 22% so với 2024); và thời gian khắc phục trung bình 55 ngày đối với lỗ hổng ứng dụng mức high/critical. Ngoài ra, gần một nửa lỗ hổng doanh nghiệp vẫn chưa được vá sau 1 năm.
Khuyến nghị trọng tâm là chuyển từ cách ưu tiên dựa CVSS-first sang huy động theo exploitability và ngữ cảnh tài sản, đồng thời dùng attack path analysis để thu hẹp blast radius. Từ đó, đo lường hiệu quả bằng tốc độ “tài sản quan trọng còn bị khai thác được trong bao lâu”, thay vì chỉ theo tỷ lệ vá theo quý.