Nghiên cứu: Lỗi do AI phát hiện chưa cho thấy lợi thế lớn trong khai thác thực tế
"VulnCheck analyzed 1,061 publicly attributed AI-assisted vulnerability discoveries and found that only 14, or 1.3%, were confirmed exploited in the wild, a rate similar to the broader vulnerability population. The report suggests AI is increasing the volume of bugs discovered more than the proportion that become weaponized, with no evidence of a major exploitation advantage; no specific CVE fix is discussed in the article."
Tác động bảo mật ở mức vừa: dữ liệu cho thấy tỷ lệ vũ khí hóa 1,3% của lỗ hổng do AI hỗ trợ không cao hơn đáng kể so với quần thể chung; do đó lợi thế khai thác thực tế chưa được chứng minh. Đồng thời, vẫn cần cảnh giác vì rủi ro không biến mất và bối cảnh khai thác vẫn diễn ra.
Tác động vận hành ở mức vừa: kết quả giúp điều chỉnh kỳ vọng về hiệu quả “AI tạo lỗ hổng dễ khai thác”, nhưng không giảm nhu cầu vá và ưu tiên theo KEV. Các nhóm an ninh có thể tập trung nguồn lực vào quản trị lỗ hổng thay vì chạy theo tuyên bố truyền thông.
Theo nghiên cứu của VulnCheck, các phát hiện lỗ hổng hỗ trợ bởi AI hiện chưa làm tăng đáng kể tỷ lệ lỗ hổng được vũ khí hóa trong thực tế. Cụ thể, VulnCheck đã phân tích 1.061 trường hợp lỗ hổng được gán cho việc phát hiện có hỗ trợ AI từ Project Glasswing và Berkeley Vulnerability Research Initiative, sau đó đối chiếu với cơ sở dữ liệu Known Exploited Vulnerability (KEV). Kết quả cho thấy chỉ 14 lỗ hổng, tương đương 1,3%, được xác nhận là đã bị khai thác “trong tự nhiên”, gần như tương đương tỷ lệ của toàn bộ tập lỗ hổng trong dữ liệu của VulnCheck.
Báo cáo cho rằng AI đang giúp tăng số lượng lỗ hổng được phát hiện, nhưng chưa có bằng chứng cho thấy AI làm tăng tỷ lệ chúng trở thành công cụ tấn công. Nghiên cứu cũng nhắm vào các tuyên bố liên quan đến Project Glasswing, nơi Claude Mythos được cho là đã tạo ra 23.019 ứng viên lỗ hổng; tuy nhiên, VulnCheck ghi nhận chỉ 126 được công bố thành CVE và chỉ 1 được xác nhận khai thác trong thực tế.
Khuyến nghị: các đội bảo mật nên coi AI như một yếu tố hỗ trợ quy trình rà soát, tiếp tục ưu tiên quản lý rủi ro, theo dõi KEV và vá theo mức độ ảnh hưởng thay vì dựa vào giả định “AI sẽ tạo ra lỗ hổng dễ khai thác hơn”.