AI thay đổi cuộc chơi quản trị lỗ hổng: Tại sao CISO đang chuyển dịch ngân sách sang BAS?

Trong suốt ba thập kỷ qua, quản trị lỗ hổng (vulnerability management) dựa trên một khoảng đệm an toàn: thời gian từ khi lỗ hổng được phát hiện đến khi tội phạm mạng tìm ra cách khai thác. Quy trình này vốn khá đơn giản: phân loại mức độ nghiêm trọng, lên lịch vá lỗi, kiểm chứng và hoàn tất. Tuy nhiên, khoảng đệm quý giá đó hiện đã không còn.

Khi AI biến việc tìm kiếm lỗ hổng thành trò chơi về số lượng

AI không làm cho đội ngũ bảo mật của bạn chậm đi, mà nó đã thay đổi hoàn toàn cục diện ở phía đối thủ. Theo báo cáo từ Anthropic vào tháng 5/2026, các mô hình AI như Claude Mythos đã tìm thấy hơn 10.000 lỗ hổng nghiêm trọng trong các phần mềm quan trọng chỉ trong một tháng. Đáng chú ý, AI có thể tạo ra hàng trăm exploit khả thi cho các trình duyệt và hệ điều hành, thậm chí phát hiện ra những lỗi tồn tại suốt 27 năm mà con người chưa từng nhận ra.

Đồng thời, thời gian trung bình để khai thác một lỗ hổng (Time-to-Exploit – TTE) đã giảm mạnh từ khoảng 53 ngày vào năm 2024 xuống chỉ còn 24 giờ vào năm 2026. Điều này khiến việc yêu cầu các đội ngũ IT “vá lỗi nhanh hơn” trở nên bất khả thi, giống như việc yêu cầu một con tàu khổng lồ dừng lại ngay lập tức.

Sự chuyển dịch chiến lược: Từ vá lỗi mù quáng sang kiểm chứng thực tế

Dữ liệu từ Verizon DBIR 2026 cho thấy thời gian vá lỗi trung bình đã tăng lên 43 ngày, trong khi tỷ lệ các lỗ hổng được vá hoàn toàn lại giảm. Khi kẻ tấn công hoạt động ở tốc độ máy tính (machine speed), việc chỉ dựa vào điểm số CVSS để ưu tiên vá lỗi đã không còn hiệu quả.

Câu hỏi quan trọng hiện nay không còn là “hệ thống có lỗ hổng nào?” mà là “điều gì thực sự có thể bị khai thác ngay lúc này và các biện pháp phòng thủ hiện tại có ngăn chặn được không?”. Đây chính là lý do giải pháp Breach and Attack Simulation (BAS) trở thành trọng tâm mới.

Tại sao BAS là trụ cột chống lại các cuộc tấn công hỗ trợ bởi AI?

BAS không chỉ là quét lỗ hổng lý thuyết, mà là thực hiện các bài tập giả lập tấn công thực tế dựa trên kỹ thuật của đối thủ (TTPs) để kiểm tra khả năng phòng thủ của hệ thống. BAS mang lại ba lợi ích cốt lõi:

• Phân tách lý thuyết và thực tế: Xác định lỗ hổng nào đã được các công cụ như WAF, IPS hay EDR chặn đứng, giúp đội ngũ bảo mật tập trung vào các rủi ro thực sự.
• Tối ưu hóa công cụ bảo mật: Kiểm tra xem các chính sách bảo mật hiện có đã được cấu hình đúng và hiệu quả hay chưa.
• Mua thời gian để vá lỗi an toàn: Khi đã chứng minh được một tài sản quan trọng được bảo vệ bởi các lớp kiểm soát cứng, việc vá lỗi có thể được thực hiện theo quy trình chuẩn thay vì phải triển khai khẩn cấp gây gián đoạn hệ thống.

Trong bối cảnh tấn công tự động hóa, các giải pháp BAS cũng cần vận hành ở tốc độ máy. Các nền tảng hiện đại như Picus đang áp dụng hệ thống đa tác nhân (multi-agent system) để phối hợp, xác thực và thực thi các kịch bản mô phỏng tấn công chỉ trong vài phút. Đây là bước tiến cần thiết để các tổ chức không chỉ vá lỗi một cách thụ động mà còn chủ động kiểm chứng hiệu quả bảo mật trong thời gian thực.

Nguồn tham khảo: The Hacker News