Mythos AI: Bước tiến lớn trong săn lỗ hổng – nhưng chưa thể thay chuyên gia an ninh

Một rủi ro thực tế là hệ thống có thể tạo ra quá nhiều lỗ hổng khả nghi, khiến đội bảo mật phải tốn nhiều công sức xác minh từng trường hợp. Điều này có thể dẫn đến chi phí xử lý lớn hoặc tỷ lệ false positive cao.

Ngoài ra, một số tuyên bố rằng Mythos đã phát hiện “hàng nghìn lỗ hổng nghiêm trọng” chủ yếu xuất phát từ các báo cáo gần với nhà phát triển hoặc nguồn ít độc lập hơn, nên cần được kiểm chứng rộng rãi trước khi coi là kết luận chắc chắn .

So sánh với GPT‑5.5: khoảng cách không quá lớn

Một điểm đáng chú ý từ các đánh giá của AISI là Mythos không phải mô hình duy nhất đạt cấp độ năng lực này.

Trong các bài test cùng bộ đánh giá, GPT‑5.5 cũng đạt hiệu suất tương tự trong nhiều nhiệm vụ an ninh mạng . Cả hai mô hình đều có thể hoàn thành các bài tập tấn công nhiều bước trong môi trường thử nghiệm của AISI.

Điều này cho thấy cuộc đua năng lực giữa các mô hình AI đang rất sát sao. Nếu các hệ thống như GPT‑5.5 hoặc các agent chuyên dụng đạt kết quả tương tự với chi phí thấp hơn hoặc khả năng tiếp cận rộng hơn, lợi thế thực tế của Mythos có thể phụ thuộc nhiều vào hệ sinh thái công cụ và quy trình làm việc hơn là bản thân mô hình .

Hạn chế của các bài test hiện tại

Ngay cả các bài đánh giá độc lập cũng chưa phản ánh đầy đủ môi trường thực tế.

AISI sử dụng một bộ 95 nhiệm vụ an ninh mạng với nhiều mức độ khó để kiểm tra mô hình . Tuy nhiên, các thử nghiệm này vẫn mang tính môi trường kiểm soát, chẳng hạn:

• mục tiêu có lỗ hổng đã biết
• mạng thử nghiệm được cấu hình sẵn
• ít yếu tố nhiễu như log thiếu, quyền truy cập hạn chế hoặc hệ thống phức tạp

Trong thực tế, các nhóm bảo mật phải xử lý nhiều yếu tố khó lường hơn, nên hiệu suất trong phòng thí nghiệm không phải lúc nào cũng phản ánh hoàn toàn khả năng ngoài đời .

Vì sao chính phủ và ngân hàng muốn tiếp cận Mythos

Khả năng phát hiện lỗ hổng nhanh của AI đang tạo ra một cuộc chạy đua phòng thủ – tấn công trong an ninh mạng.

Một số chính phủ và tổ chức tài chính đã bắt đầu tìm cách tiếp cận các hệ thống như Mythos:

• Các ngân hàng lớn của Nhật Bản dự kiến được cấp quyền truy cập để kiểm tra hệ thống của họ trước nguy cơ tấn công AI .
• Nhật Bản cũng thành lập nhóm đặc nhiệm đánh giá rủi ro tấn công mạng từ AI sau khi Mythos ra mắt vào tháng 4 .
• Các ngân hàng châu Âu được cho là đang chuẩn bị thử nghiệm công nghệ này nhằm tăng khả năng phát hiện lỗ hổng trước khi tin tặc sử dụng các công cụ tương tự .

Tốc độ tiến bộ của AI trong an ninh mạng

Theo AISI, khả năng AI hoàn thành các nhiệm vụ tấn công mạng phức tạp đang tăng rất nhanh. Thời lượng nhiệm vụ mà AI có thể tự hoàn thành đã tăng gấp đôi chỉ trong vài tháng trong các bộ thử nghiệm chuyên biệt của họ .

Cơ quan an ninh mạng quốc gia Anh (NCSC) cũng cảnh báo rằng AI tiên tiến đã bắt đầu hữu ích trong nhiều bước của hoạt động tấn công mạng, như tìm lỗ hổng zero‑day hoặc giải bài toán mật mã .

Kết luận

Các bằng chứng hiện tại cho thấy Anthropic Mythos là một công cụ AI rất mạnh trong việc tìm lỗ hổng và thử nghiệm tấn công mạng. Tuy nhiên, cách hiểu an toàn nhất là xem nó như trợ lý có đòn bẩy mạnh cho chuyên gia, chứ không phải hệ thống tự động hoàn toàn.

Những câu hỏi lớn vẫn còn bỏ ngỏ gồm:

• tỷ lệ cảnh báo sai khi tìm lỗ hổng
• khả năng khai thác thực tế của các lỗi được phát hiện
• mức độ tái lập kết quả ngoài môi trường thử nghiệm
• và liệu các mô hình khác như GPT‑5.5 có thể đạt hiệu suất tương đương với chi phí thấp hơn hay không.

Trong bối cảnh AI đang cải thiện nhanh chóng, cả chính phủ lẫn doanh nghiệp đều coi việc tiếp cận các công cụ này là cần thiết để tìm và vá lỗ hổng trước khi kẻ tấn công làm điều đó.