05/10/2026 · VietTechies · Biên tập
Quy trình quản lý lỗ hổng truyền thống dựa vào các chỉ số CVSS tĩnh đang dần thất bại khi trí tuệ nhân tạo thúc đẩy tốc độ phát triển phần mềm và tạo ra các phương thức khai thác nhanh hơn. Báo cáo từ The New Stack cho thấy dung lượng phần mềm hiện đại tăng bùng nổ kết hợp với khả năng tự động hóa khai thác của AI đã khiến việc sàng lọc thủ công và theo dõi bằng bảng tính trở nên hoàn toàn lỗi thời.
Hạn chế của thang điểm mức độ nghiêm trọng tĩnh
Mã định danh Lỗ hổng bảo mật Phổ biến (CVE) cho biết sự tồn tại của điểm yếu, nhưng điểm số CVSS chỉ đo lường mức độ nghiêm trọng về mặt kỹ thuật chứ không phản ánh rủi ro thực tế của tổ chức. Theo The New Stack, hai tổ chức cùng chứa một mã CVE có thể đối mặt với mức độ đe dọa khác biệt hoàn toàn, tùy thuộc vào việc đoạn mã bị ảnh hưởng có được thực thi hay có mở ra môi trường internet hay không. Nếu chỉ ưu tiên khắc phục dựa trên điểm số thô, doanh nghiệp sẽ tốn nhiều nguồn lực mà không giảm thiểu rủi ro một cách hiệu quả.
Chuyển hướng sang ngữ cảnh vận hành và nền tảng gia cố
Để quản lý rủi ro hiệu quả, các hoạt động an ninh mạng phải tập trung vào môi trường sản xuất (production) thực tế thay vì chỉ quét các kho lưu trữ mã nguồn trước khi triển khai. Việc sử dụng các hình ảnh nền (base image) đã được gia cố, thực hiện kiểm thử an ninh ứng dụng tĩnh (SAST) và quét cấu hình theo các tiêu chuẩn như STIGs giúp thu hẹp phạm vi lỗ hổng ngay từ trước khi mã nguồn đi vào vận hành.
Xây dựng quy trình xử lý lỗ hổng dựa trên rủi ro
Các chiến lược khắc phục hiện đại đòi hỏi sự kết hợp của dữ liệu tình báo đe dọa, chẳng hạn như danh mục Lỗ hổng bị Khai thác Phổ biến (KEV) của CISA và Hệ thống Điểm dự báo Khai thác (EPSS). Bằng cách phân tích khả năng tiếp cận của mã bị ảnh hưởng cùng với mức độ tiếp xúc bên ngoài, cấu hình hệ thống và tác động kinh doanh, đội ngũ kỹ thuật có thể tập trung xử lý những lỗ hổng mang rủi ro thực tế cao nhất thay vì cố gắng xóa sạch các danh sách CVE dài vô tận.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: AI is speeding up exploits. Vulnerability spreadsheets can’t keep up.