Bên trong Google AI Threat Defense: Nền tảng đối phó các cuộc tấn công mạng 22 giây

Tốc độ của các cuộc tấn công mạng hiện đại đã khiến các biện pháp phòng thủ thủ công truyền thống trở nên lỗi thời. Ba năm trước, kẻ tấn công mất khoảng tám giờ để từ lúc xâm nhập hệ thống đến lúc bàn giao quyền truy cập. Giờ đây, khoảng thời gian đó đã rút ngắn xuống chỉ còn 22 giây . Để đối phó, Google Cloud đã ra mắt AI Threat Defense vào ngày 27 tháng 5 năm 2026—một nền tảng tự động, luôn hoạt động, được thiết kế để tìm, xác thực và vá lỗ hổng nhanh hơn tốc độ mà các cuộc tấn công do AI tăng tốc có thể khai thác chúng .

Đây không chỉ là một công cụ đơn lẻ; nó là sự kết hợp chiến lược của những tài sản bảo mật mạnh mẽ nhất của Google. Nền tảng này kết hợp sức mạnh suy luận của Gemini AI, khả năng quản lý tư thế bảo mật đám mây của Wiz, năng lực tự động sửa mã của CodeMender, và thông tin tình báo đe dọa tuyến đầu của Mandiant. Kết quả là một hệ thống nhằm mục đích đóng lại cánh cửa rủi ro trước khi một cuộc tấn công kịp bắt đầu.

Bốn Giai Đoạn Hoạt Động của AI Threat Defense

Google AI Threat Defense vận hành thông qua một khung bốn giai đoạn liên tục, từ chuẩn bị đến giám sát tự động.

1. Chuẩn bị: Thu hẹp Bề mặt Tấn công Trước Đòn Ra Đầu Tiên

Trong giai đoạn chuẩn bị, nền tảng bảo mật Wiz lập bản đồ toàn bộ môi trường của tổ chức, bao gồm các ứng dụng bị lộ, cơ sở hạ tầng đám mây, API (Giao diện lập trình ứng dụng), danh tính người dùng và môi trường thời gian chạy. Điều quan trọng là, một tác nhân thử nghiệm xâm nhập tích hợp sau đó sẽ mô phỏng các cuộc tấn công để xác định những điểm lộ nào thực sự có thể bị khai thác, cho phép các đội ngũ chủ động giảm bề mặt tấn công có thể tiếp cận .

2. Quét và Ưu tiên: Đào Sâu với Đa Mô Hình

Một mô hình AI đơn lẻ không thể phát hiện mọi loại lỗ hổng. Ở giai đoạn quét và ưu tiên, nền tảng triển khai một hạm đội các mô hình AI. Các mô hình nhẹ hơn, nhanh hơn cung cấp phạm vi bao phủ rộng khắp môi trường, trong khi các mô hình tiên tiến mạnh mẽ hơn—được cung cấp thông qua Nền tảng Tác nhân Doanh nghiệp Gemini—thực hiện phân tích chuyên sâu, có ngữ cảnh trên các hệ thống có rủi ro cao như ứng dụng hướng internet và logic xác thực. Cách tiếp cận đa mô hình này kiểm tra logic ứng dụng, cấu hình đám mây, mã nhị phân và khả năng khai thác để ưu tiên các mối đe dọa quan trọng nhất .

3. Khắc phục: Sửa Mã Tự Động với Dấu vết Kiểm toán

Một khi lỗ hổng nghiêm trọng được xác định, tốc độ đưa ra bản vá là tất cả. CodeMender, một tác nhân do Google DeepMind phát triển, tạo ra các bản vá đã được xác minh trực tiếp bên trong môi trường phát triển tích hợp (IDE) hoặc giao diện dòng lệnh (CLI) của lập trình viên. Nó phối hợp với Wiz và Antigravity để thay thế mã dễ bị tấn công, viết lại các thành phần cũ bằng ngôn ngữ an toàn về bộ nhớ, và phân tích các phụ thuộc thư viện rủi ro. Trước khi bất kỳ bản vá nào được hợp nhất vào sản phẩm chính thức, nền tảng sẽ tự động tạo các bài kiểm tra để xác minh bản sửa lỗi và gắn thẻ các thư viện đã vá trong hệ thống kiểm soát mã nguồn, cung cấp một dấu vết kiểm toán hoàn chỉnh .

4. Giám sát: Săn Tìm Mối Đe dọa Liên tục ở Tốc Độ Máy

Giai đoạn cuối cùng được bàn giao cho một tập hợp các tác nhân AI chuyên biệt trong Google Security Operations (Hoạt động An ninh của Google). Các tác nhân này xử lý các nhiệm vụ liên tục bao gồm phát hiện mối đe dọa, phân loại cảnh báo, điều tra và chủ động săn tìm mối đe dọa trên toàn bộ dữ liệu từ xa của mạng, danh tính và ứng dụng. Để khóa chặt môi trường hơn nữa, các hình ảnh container (container image) đã được tăng cường bảo mật sẽ được xây dựng, ký và xác minh hàng ngày để hạn chế bề mặt tấn công thời gian chạy về lâu dài .

Cách Các Thành Phần Chính Tạo Nên Một Hệ Thống Phòng Thủ Thống Nhất

Sức mạnh của AI Threat Defense nằm ở cách các thành phần riêng lẻ này phối hợp các chức năng cụ thể của chúng thành một quy trình làm việc thống nhất và gắn kết.

• Wiz là tai mắt của chiến dịch, cung cấp khả năng quan sát liên tục vào tư thế bảo mật đám mây, vẽ bản đồ các đường tấn công phức tạp, và sử dụng tác nhân thử nghiệm xâm nhập để xác thực rủi ro nào thực sự có thể bị khai thác .
• Gemini AI hoạt động như bộ não suy luận và tạo mã trung tâm. Nó cung cấp sức mạnh cho mọi thứ từ phân tích chuyên sâu trong giai đoạn quét đến việc tạo ra logic mà CodeMender sử dụng để tạo bản sửa lỗi .
• CodeMender là đôi tay khắc phục, tiếp nhận các lỗ hổng đã được xác thực và suy luận của Gemini để viết và kiểm tra các bản vá an toàn, thân thiện với bộ nhớ trực tiếp trong quy trình làm việc của nhà phát triển .
• Mandiant cung cấp bộ não chiến lược, đưa ra các kịch bản tình báo đe dọa tuyến đầu và hướng dẫn chuyên gia về các nhiệm vụ quan trọng như quản lý sự gia tăng đột biến các lỗ hổng zero-day (lỗ hổng chưa có bản vá) hoặc ngừng hoạt động an toàn các sản phẩm cũ .

Quy trình làm việc này tuyến tính một cách tinh tế: Wiz tìm ra thứ gì đang bị lộ và có thể bị khai thác, Gemini và CodeMender xác thực và sửa mã nguồn, và Mandiant cung cấp kịch bản vận hành để hướng dẫn phản ứng, tất cả được giám sát liên tục bởi các tác nhân của Google Security Operations .

Hệ Sinh Thái Đối Tác: Đưa Phòng Thủ AI vào Doanh Nghiệp

Google Cloud không kỳ vọng các doanh nghiệp tự vận hành nền tảng này một mình. Một hệ sinh thái đối tác ra mắt mạnh mẽ đã sẵn sàng để cung cấp các quy trình bảo mật có độ chính xác cao ngay lập tức .

• Check Point Software Technologies tham gia với tư cách là đối tác ra mắt, tích hợp AI Defense Plane (Mặt phẳng Phòng thủ AI) của mình với Nền tảng Tác nhân Doanh nghiệp Gemini. Sự tích hợp này cung cấp cho doanh nghiệp khả năng quan sát đầy đủ hệ thống tác nhân AI, các biện pháp kiểm soát trước khi triển khai và các rào chắn thời gian chạy—điều cần thiết để mở rộng quy mô sử dụng AI tác tử một cách an toàn .
• SentinelOne giành danh hiệu Đối tác Google Cloud của Năm 2026 cho hạng mục Bảo mật: Google Threat Intelligence. Giải thưởng nhấn mạnh sự hợp tác sâu rộng hơn, kết hợp khả năng phát hiện và phản hồi điểm cuối (EDR) và bảo mật AI của SentinelOne với thông tin tình báo đe dọa và cơ sở hạ tầng quy mô đám mây của Google .
• Một nhóm đối tác bảo mật rộng lớn hơn, bao gồm BBVA đang sử dụng tác nhân Phân loại và Điều tra trong môi trường sản xuất thực tế, đã được công bố để xây dựng các tích hợp liền mạch cho Google Security Operations, đảm bảo các đội SOC (Trung tâm Điều hành An ninh) có thể áp dụng các quy trình làm việc tác tử mới một cách nhanh chóng .