Mythos AI: Bước tiến lớn trong săn lỗ hổng – nhưng chưa thể thay chuyên gia an ninh

Mythos: bước tiến rõ rệt trong AI cho an ninh mạng

Các thử nghiệm độc lập cho thấy Claude Mythos của Anthropic là một bước tiến đáng chú ý trong lĩnh vực AI hỗ trợ an ninh mạng. Điểm mạnh nhất của hệ thống nằm ở khả năng phát hiện lỗ hổng phần mềm và thực hiện các chuỗi tấn công nhiều bước – những nhiệm vụ vốn thường đòi hỏi nhiều giờ làm việc của chuyên gia.

Theo đánh giá của AI Security Institute (AISI) thuộc chính phủ Anh, phiên bản Mythos Preview thể hiện năng lực vượt trội so với các mô hình AI thế hệ trước trong các bài kiểm tra an ninh mạng . Trong một bài kiểm tra nổi bật, Mythos trở thành mô hình đầu tiên hoàn thành mô phỏng tấn công mạng vào hệ thống doanh nghiệp từ đầu đến cuối, một nhiệm vụ nhiều bước mà AISI ước tính một chuyên gia con người có thể mất khoảng 20 giờ để thực hiện .

Các báo cáo thử nghiệm từ phía Anthropic cũng cho biết Mythos có thể:

• Tìm lỗ hổng zero‑day trong các dự án mã nguồn mở
• Phân tích ngược (reverse‑engineer) các khai thác trong phần mềm mã đóng
• Chuyển các lỗ hổng đã biết nhưng chưa được vá rộng rãi ("N‑day") thành mã khai thác thực tế

Những khả năng này khiến Mythos trở thành công cụ mạnh cho việc tìm lỗi bảo mật sớm và thử nghiệm các kịch bản tấn công phức tạp.

Giới hạn quan trọng: AI vẫn chưa thay được chuyên gia

Dù vậy, các đánh giá công khai cũng cho thấy Mythos chưa phải là “nhà phân tích an ninh mạng tự động” hoàn chỉnh.

AI có thể tìm ra nhiều lỗ hổng tiềm năng, nhưng việc xác định mức độ nghiêm trọng, xác minh khả năng khai thác thực tế và ưu tiên vá lỗi vẫn cần chuyên gia con người .

Một rủi ro thực tế là hệ thống có thể tạo ra quá nhiều lỗ hổng khả nghi, khiến đội bảo mật phải tốn nhiều công sức xác minh từng trường hợp. Điều này có thể dẫn đến chi phí xử lý lớn hoặc tỷ lệ false positive cao.

Ngoài ra, một số tuyên bố rằng Mythos đã phát hiện “hàng nghìn lỗ hổng nghiêm trọng” chủ yếu xuất phát từ các báo cáo gần với nhà phát triển hoặc nguồn ít độc lập hơn, nên cần được kiểm chứng rộng rãi trước khi coi là kết luận chắc chắn .

So sánh với GPT‑5.5: khoảng cách không quá lớn

Một điểm đáng chú ý từ các đánh giá của AISI là Mythos không phải mô hình duy nhất đạt cấp độ năng lực này.

Trong các bài test cùng bộ đánh giá, GPT‑5.5 cũng đạt hiệu suất tương tự trong nhiều nhiệm vụ an ninh mạng . Cả hai mô hình đều có thể hoàn thành các bài tập tấn công nhiều bước trong môi trường thử nghiệm của AISI.

Điều này cho thấy cuộc đua năng lực giữa các mô hình AI đang rất sát sao. Nếu các hệ thống như GPT‑5.5 hoặc các agent chuyên dụng đạt kết quả tương tự với chi phí thấp hơn hoặc khả năng tiếp cận rộng hơn, lợi thế thực tế của Mythos có thể phụ thuộc nhiều vào hệ sinh thái công cụ và quy trình làm việc hơn là bản thân mô hình .

Hạn chế của các bài test hiện tại

Ngay cả các bài đánh giá độc lập cũng chưa phản ánh đầy đủ môi trường thực tế.

AISI sử dụng một bộ 95 nhiệm vụ an ninh mạng với nhiều mức độ khó để kiểm tra mô hình . Tuy nhiên, các thử nghiệm này vẫn mang tính môi trường kiểm soát, chẳng hạn:

• mục tiêu có lỗ hổng đã biết
• mạng thử nghiệm được cấu hình sẵn
• ít yếu tố nhiễu như log thiếu, quyền truy cập hạn chế hoặc hệ thống phức tạp

Trong thực tế, các nhóm bảo mật phải xử lý nhiều yếu tố khó lường hơn, nên hiệu suất trong phòng thí nghiệm không phải lúc nào cũng phản ánh hoàn toàn khả năng ngoài đời .

Vì sao chính phủ và ngân hàng muốn tiếp cận Mythos

Khả năng phát hiện lỗ hổng nhanh của AI đang tạo ra một cuộc chạy đua phòng thủ – tấn công trong an ninh mạng.

Một số chính phủ và tổ chức tài chính đã bắt đầu tìm cách tiếp cận các hệ thống như Mythos:

• Các ngân hàng lớn của Nhật Bản dự kiến được cấp quyền truy cập để kiểm tra hệ thống của họ trước nguy cơ tấn công AI .
• Nhật Bản cũng thành lập nhóm đặc nhiệm đánh giá rủi ro tấn công mạng từ AI sau khi Mythos ra mắt vào tháng 4 .
• Các ngân hàng châu Âu được cho là đang chuẩn bị thử nghiệm công nghệ này nhằm tăng khả năng phát hiện lỗ hổng trước khi tin tặc sử dụng các công cụ tương tự .

Tốc độ tiến bộ của AI trong an ninh mạng

Theo AISI, khả năng AI hoàn thành các nhiệm vụ tấn công mạng phức tạp đang tăng rất nhanh. Thời lượng nhiệm vụ mà AI có thể tự hoàn thành đã tăng gấp đôi chỉ trong vài tháng trong các bộ thử nghiệm chuyên biệt của họ .

Cơ quan an ninh mạng quốc gia Anh (NCSC) cũng cảnh báo rằng AI tiên tiến đã bắt đầu hữu ích trong nhiều bước của hoạt động tấn công mạng, như tìm lỗ hổng zero‑day hoặc giải bài toán mật mã .

Kết luận

Các bằng chứng hiện tại cho thấy Anthropic Mythos là một công cụ AI rất mạnh trong việc tìm lỗ hổng và thử nghiệm tấn công mạng. Tuy nhiên, cách hiểu an toàn nhất là xem nó như trợ lý có đòn bẩy mạnh cho chuyên gia, chứ không phải hệ thống tự động hoàn toàn.

Những câu hỏi lớn vẫn còn bỏ ngỏ gồm:

• tỷ lệ cảnh báo sai khi tìm lỗ hổng
• khả năng khai thác thực tế của các lỗi được phát hiện
• mức độ tái lập kết quả ngoài môi trường thử nghiệm
• và liệu các mô hình khác như GPT‑5.5 có thể đạt hiệu suất tương đương với chi phí thấp hơn hay không.

Trong bối cảnh AI đang cải thiện nhanh chóng, cả chính phủ lẫn doanh nghiệp đều coi việc tiếp cận các công cụ này là cần thiết để tìm và vá lỗ hổng trước khi kẻ tấn công làm điều đó.