13/10/2026 · VietTechies · Biên tập
Theo các báo cáo từ The New Stack và tài liệu công bố lỗ hổng phối hợp của Anthropic, công cụ OSS Scanner của hãng — sử dụng các mô hình bao gồm Claude Mythos Preview — đã phát hiện hơn 29.000 ứng cử viên lỗ hổng bảo mật trên các dự án phần mềm mã nguồn mở lớn trong khoảng thời gian sáu tháng. Lượng thông tin khổng lồ này làm nổi bật một thách thức vận hành ngày càng lớn, khi trí tuệ nhân tạo tạo ra các lỗi bảo mật tiềm ẩn nhanh hơn nhiều so với tốc độ xác minh và phân loại của các quy trình kiểm tra thủ công truyền thống.
Nút thắt cổ chai trong việc xác minh
Anthropic dựa vào mạng lưới các công ty nghiên cứu bảo mật bên ngoài để tái tạo thủ công, đánh giá và phân loại các lỗi được tìm thấy trước khi thông báo cho những người duy trì dự án. Dữ liệu từ bảng điều khiển công bố của công ty cho thấy mặc dù các hãng bên ngoài đã xác nhận hàng nghìn kết quả kiểm tra là hợp lệ, chỉ một phần nhỏ trong số các lỗi đó được vá thành công ở tầng thượng nguồn. Trong số hàng nghìn kết quả được xử lý và kiểm duyệt bởi con người, chỉ có vài trăm bản vá được phát hành, để lại khoảng 23.000 ứng cử viên lỗ hổng chưa được xem xét trong hệ thống.
Chương trình đẩy nhanh trực tiếp đến người duy trì
Để ngăn người duy trì phải chờ đợi vô thời hạn trong lúc các nhà nghiên cứu xử lý lượng tồn đọng, Anthropic đã thiết lập một chương trình đẩy nhanh tùy chọn. Các dự án tham gia đáp ứng những tiêu chí cụ thể có thể yêu cầu quét định kỳ và nhận trực tiếp các kết quả thô chưa được xác thực từ mô hình. Theo các báo cáo, một số tên tuổi mã nguồn mở nổi bật — bao gồm đại diện từ OpenSSL, wolfSSL, PostgreSQL và The cURL Project — lưu ý rằng việc tích hợp các công cụ tái tạo độc lập và các bản vá tiềm năng giúp báo cáo do AI tạo ra cực kỳ hữu ích, đôi khi bắt được các vấn đề nghiêm trọng mà phương pháp truyền thống bỏ sót.
Ý nghĩa đối với bảo mật mã nguồn mở
Việc mở rộng quy mô phát hiện lỗ hổng nhanh chóng thông qua các mô hình như Claude đánh dấu một bước ngoặt sâu sắc trong động lực bảo mật phần mềm, chuyển dịch nút thắt chính từ khâu nhận diện lỗ hổng sang năng lực khắc phục. Trong nhiều thập kỷ, tình trạng bảo mật bị giới hạn bởi số lượng chuyên gia kiểm tra thủ công mã nguồn hoặc hiệu quả của các công cụ phân tích tĩnh tự động trong việc lọc kết quả dương tính giả. Bằng cách giới thiệu các hệ thống AI có khả năng khai quật hàng chục nghìn lỗi cấu trúc, mô hình này chuyển từ sự khan hiếm báo cáo lỗi sang tình trạng dư thừa nợ kỹ thuật. Điều này tạo ra một thế tiến thoái lưỡng nan phức tạp về quản trị và vận hành cho các hệ sinh thái mã nguồn mở. Mặc dù những người duy trì có được khả năng hiển thị chưa từng có đối với các lỗ hổng ẩn — từ hiện tượng tràn vùng đệm heap trong các ngăn xếp mạng đến điều kiện sử dụng bộ nhớ sau khi giải phóng trong các tiện ích hệ thống cốt lõi — khối lượng báo cáo khổng lồ này đe dọa làm quá tải những người duy trì tình nguyện hoặc đội ngũ kỹ thuật mỏng vốn vẫn phải kiểm tra thủ công các bản vá, quản lý bản sao lưu và đánh giá các lỗi hồi quy tiềm ẩn. Cuối cùng, dù các công cụ tăng tốc bằng AI có thể rút ngắn đáng kể thời gian tìm kiếm lỗi phần mềm quan trọng, chúng không thể thay thế lao động thủ công tỉ mỉ cần thiết để vá, kiểm thử và triển khai an toàn các bản cập nhật phần mềm trên cơ sở hạ tầng kỹ thuật số toàn cầu.
Tiêu chí đủ điều kiện và khung công bố
Quyền truy cập vào OSS Scanner và các báo cáo đẩy nhanh được hạn chế một cách có chủ đích. Anthropic áp dụng các tiêu chí đủ điều kiện theo phong cách OSS-Fuzz để đảm bảo rằng các dự án tham gia sở hữu nguồn lực tổ chức và sự giám sát của người duy trì cốt lõi cần thiết để xử lý lượng thông báo bảo mật gia tăng. Hơn nữa, chương trình hoạt động theo các điều khoản công bố có cấu trúc, trong đó các kết quả quét chưa được xác thực không tuân theo mốc thời gian thông báo cứng nhắc 90 ngày, mặc dù các kết quả được xác minh sau đó thông qua quy trình đánh giá chuẩn của con người sẽ tuân theo các hướng dẫn công bố phối hợp đã thiết lập.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Claude found 29,000 possible bugs in open source. Only 516 have been fixed. · Anthropic's coordinated vulnerability disclosure dashboard