Số CVE liên quan Anthropic tăng, nhưng khai thác thực tế còn rất thấp
"VulnCheck researcher Patrick Garrity reported that 225 CVEs attributed to Anthropic or Project Glasswing have been tracked, but only one has confirmed exploitation in the wild: CVE-2026-26980, a critical SQL injection vulnerability in Ghost. The article argues that while AI-assisted bug finding is increasing disclosure volume, the observed real-world exploitation rate remains very low and remediation still depends heavily on human triage and patching."
Tác động bảo mật hiện tại ở mức trung bình-cao vì số lượng CVE tăng nhanh, nhưng khai thác thực tế còn rất thấp; cần tập trung vào xác minh lỗ hổng và ưu tiên vá lỗi.
Ảnh hưởng vận hành chủ yếu nằm ở khối lượng triage tăng và áp lực quản lý bản vá; rủi ro kinh doanh trực tiếp chưa cao nhưng có thể tăng nếu bỏ sót lỗ hổng đã bị khai thác.
Theo nhà nghiên cứu Patrick Garrity của VulnCheck, hiện có 225 CVE được gắn với Anthropic hoặc Project Glasswing, nhưng chỉ 1 lỗ hổng được xác nhận bị khai thác ngoài thực tế: CVE-2026-26980, một lỗi SQL injection nghiêm trọng trong Ghost.
Bài viết cho thấy việc dùng AI hỗ trợ tìm lỗi đang làm tăng mạnh số lượng công bố lỗ hổng, nhưng điều đó không đồng nghĩa với việc kẻ tấn công sẽ khai thác hàng loạt. Garrity lưu ý rằng tỷ lệ lỗ hổng bị vũ khí hóa trong thực tế vẫn chỉ ở mức rất thấp, và dữ liệu hiện tại chưa cho thấy tác động khác biệt đáng kể so với các lỗ hổng ngẫu nhiên khác.
Tuy vậy, các nghiên cứu gần đây cũng nhấn mạnh rằng AI vẫn chưa giỏi ở khâu sửa lỗi. Một số mô hình tạo bản vá đúng hoàn toàn chỉ ở mức 26%, trong khi nhiều trường hợp không khắc phục được vấn đề hoặc tạo thêm rủi ro mới. Điều này cho thấy quy trình triage, xác minh, khắc phục và triển khai bản vá vẫn cần con người tham gia chặt chẽ.
Khuyến nghị cho đội kỹ thuật: ưu tiên kiểm tra mức độ ảnh hưởng, xác thực bản vá, theo dõi KEV và triển khai cập nhật theo mức độ rủi ro thay vì chỉ dựa vào số lượng CVE được công bố.