AI có thể tìm và kết nối các lỗ hổng trong vài phút. Tuy nhiên, doanh nghiệp chưa thể vá lỗi với tốc độ tương ứng. Theo bài viết của The New Stack, 66% lãnh đạo bảo mật được khảo sát tại các công ty có doanh thu từ 1 tỷ USD cho biết tổ chức của họ ít nhất đôi khi cố ý để lỗ hổng mức cao hoặc nghiêm trọng chưa được vá.
Chainguard vừa giới thiệu một hệ thống bảo mật dùng AI để tìm và sửa lỗ hổng trong mã ứng dụng. Hệ thống còn nhắm đến những lỗi có thể bị khai thác mà công cụ quét thông thường bỏ sót. Tuy nhiên, đội bảo mật vẫn phải cân đối từng bản vá với thời hạn ra mắt sản phẩm. Họ cũng phải tính đến thời gian hoạt động của hệ thống và nguồn lực hiện có.
AI tìm thấy những lỗi mà công cụ quét đã bỏ qua
Chainguard Harness sử dụng các mô hình AI tiên tiến để tìm lỗ hổng trong mã ứng dụng. Trong số đó có Claude Mythos 5.1 của Anthropic. Chainguard cho biết hệ thống đã phát hiện lỗi nghiêm trọng trong các kho mã từng được quét bảo mật rộng. Một số kho mã thuộc phần mềm dùng trong hạ tầng trọng yếu.
Công ty chưa công bố những dự án bị ảnh hưởng, bản chất cụ thể của các lỗ hổng hoặc tình trạng khắc phục. Vì vậy, thông tin hiện có chưa đủ để bên ngoài đánh giá mức độ nghiêm trọng của từng trường hợp hoặc xác nhận các lỗi đã được vá.
Nhà phát triển có thể dùng Harness mà không cần quyền truy cập trực tiếp vào Mythos. Anthropic hiện giới hạn Claude Mythos 5.1 cho các tổ chức tham gia Project Glasswing. Chainguard chưa cho biết mô hình nào sẽ phát hiện lỗ hổng cho khách hàng nằm ngoài chương trình đó.
Harness cũng sẽ xuất hiện trên chợ ứng dụng Claude của Anthropic. Cách phân phối này cho phép doanh nghiệp sử dụng khoản chi đã cam kết với Anthropic thay vì phải xin ngân sách riêng cho công cụ.
Khoảng cách giữa tìm lỗi và vá lỗi
Khảo sát 1.300 lãnh đạo bảo mật tại chín thị trường cho thấy tốc độ khắc phục chưa theo kịp tốc độ phát hiện. Ở doanh nghiệp có doanh thu từ 1 tỷ USD, 66% cho biết họ ít nhất đôi khi biết rõ nhưng vẫn chưa vá lỗi mức cao hoặc nghiêm trọng. Tỷ lệ này là 27% ở nhóm có doanh thu dưới 250 triệu USD.
Các số liệu nằm trong báo cáo The AI Exploit Gap, được Chainguard công bố cùng sản phẩm mới. Wakefield Research thực hiện khảo sát theo đặt hàng của Chainguard, và hơn một nửa số người tham gia cho biết tổ chức của họ ít nhất đôi khi để lại lỗi mức cao hoặc nghiêm trọng chưa được vá.
Quincy Castro, giám đốc an toàn thông tin của Chainguard, nhận định AI có thể kết nối nhiều điểm yếu thành chuỗi khai thác chỉ trong vài phút. Trong khi đó, việc sửa lỗi vẫn diễn ra với tốc độ của con người. Công việc này phải cạnh tranh nguồn lực với thời hạn sản phẩm và yêu cầu duy trì hoạt động. Theo Castro, yêu cầu các nhóm chỉ đơn giản vá nhanh hơn không phải phương án khả thi với phần lớn tổ chức. Cách làm đó sẽ ngày càng tiêu tốn nhiều nguồn lực.
Vấn đề tương tự xuất hiện khi AI đẩy thêm lỗi về phía đội bảo mật: khả năng phát hiện tăng có thể làm hàng chờ xử lý dài hơn nếu quy trình ưu tiên và khắc phục không theo kịp.
Môi trường tách biệt cho tác tử lập trình
Chainguard Workspaces đặt mỗi nhà phát triển và tác tử lập trình trong một máy ảo siêu nhỏ được tách biệt bằng phần cứng. Chính sách mạng giới hạn quyền truy cập hệ thống nội bộ. Thông tin xác thực nằm ngoài môi trường của tác tử. Nhật ký có chữ ký ghi lại hoạt động qua nhiều phiên tự động.
Workspaces là một phần trong đợt ra mắt bốn sản phẩm của Chainguard. Ba sản phẩm còn lại là Harness, Checks và phần bảo vệ mở rộng cho Libraries. Phạm vi của hãng vì thế vượt ra ngoài ảnh vùng chứa đã gia cố và các gói phụ thuộc. Chainguard đang tiến vào môi trường chạy tác tử cùng quy trình xác minh tích hợp liên tục.
Nếu tác tử bị xâm nhập hoặc một gói phụ thuộc chứa mã độc, thiết kế này thu hẹp phạm vi tài nguyên mà chúng có thể tiếp cận. Dấu vết kiểm toán cũng trở nên quan trọng hơn khi tác tử lập trình AI bắt đầu tham gia trực tiếp vào quy trình phát triển chung thay vì chỉ hỗ trợ một cá nhân.
Đưa kiểm tra tích hợp liên tục vào vòng lặp của tác tử
Chainguard Checks cho phép tác tử chạy kiểm tra tích hợp liên tục trong lúc phát triển. Tác tử có thể xem kết quả có chữ ký rồi sửa mã trước khi mở yêu cầu hợp nhất. Mỗi bước công việc chạy trong một máy ảo siêu nhỏ tách biệt bằng phần cứng. Thông tin xác thực ngắn hạn được chèn từ phía máy chủ.
Để không phải dựng lại môi trường sau mỗi lần chạy, Checks dùng ảnh chụp trạng thái đã cài sẵn các gói phụ thuộc. Hệ thống làm mới ảnh này ở chế độ nền khi tệp khóa thay đổi. Các máy ảo được tạo từ gói Chainguard OS và có bộ công cụ tuân thủ FIPS.
Khi kết hợp với Workspaces, phiên làm việc của tác tử tạm dừng trong lúc xác minh. Sau đó, phiên tiếp tục với nhật ký lỗi có cấu trúc được đưa trở lại ngữ cảnh, giúp tác tử sửa mã dựa trên kết quả kiểm tra vừa nhận.
Trình chạy không giữ thông tin xác thực dài hạn. Một bộ chuyển tiếp phía máy chủ chèn thông tin xác thực ngắn hạn vào yêu cầu đi ra ngoài. Chính sách kết nối khai báo trước giới hạn quyền truy cập mạng. Hệ thống có thể chấm dứt máy ảo nếu phát hiện kết nối không được phép.
Mỗi lần chạy thành công tạo ra chứng thực có chữ ký gắn với môi trường thực thi, kết quả kiểm tra và bản commit. Cổng hợp nhất có thể xác minh chứng thực mà không phải chạy lại toàn bộ bộ kiểm tra. Chainguard cho biết Checks hiện được cung cấp ở dạng thử nghiệm.
Bảo vệ gói phụ thuộc trước lỗi mới công bố
Chainguard Libraries bổ sung điểm truy cập gói an toàn cho Go và .NET. Dịch vụ cũng thêm khả năng khắc phục lỗ hổng CVE cho JavaScript và Go. Hãng dự kiến mở rộng hỗ trợ Java và Python. Phần mở rộng này sẽ xử lý các lỗ hổng mới được phát hiện bằng nghiên cứu có AI hỗ trợ.
Những lỗ hổng này có thể nằm trong gói phụ thuộc mà tác tử lập trình đã đưa vào dự án trước khi lỗi được công bố. Vì vậy, bảo vệ chuỗi cung ứng phần mềm không thể dừng ở lần kiểm tra đầu tiên khi một gói được cài đặt.
Các thay đổi được xây dựng trên Chainguard Repository, một điểm truy cập phụ thuộc mã nguồn mở có thực thi chính sách. Quan hệ hợp tác với Cursor cũng cho phép tác tử phân giải gói qua danh mục của Chainguard thay vì lấy trực tiếp từ kho công cộng.
Nội dung Chainguard cho thấy về khâu xử lý sau phát hiện
Trong khảo sát do Chainguard đặt hàng, khâu xử lý sau phát hiện là một nút thắt đáng chú ý. Chainguard đang nối việc tìm lỗ hổng với môi trường thực thi hạn chế và quy trình xác minh mã, nhưng con người vẫn phải ưu tiên, thử nghiệm và triển khai từng bản vá trong điều kiện nguồn lực hữu hạn.
Sản phẩm mới không chỉ đặt AI vào vai trò tìm lỗi mà còn kiểm soát quyền truy cập, thông tin xác thực và bằng chứng về những gì tác tử đã thực hiện. Dù vậy, khảo sát của Wakefield Research do Chainguard đặt hàng cho thấy quyết định ưu tiên và khắc phục vẫn là nút thắt lớn.
Theo phát biểu của Quincy Castro và khảo sát do Chainguard đặt hàng, AI có thể khiến việc tìm và kết nối lỗ hổng diễn ra nhanh hơn, nhưng thử nghiệm bản vá và triển khai lên hệ thống thật vẫn chịu giới hạn về con người và vận hành. Dữ liệu này bổ sung bối cảnh cho nhận định rằng AI đang tăng tốc khả năng khai thác lỗ hổng.
Harness mở rộng năng lực tìm và sửa lỗ hổng, còn Checks đưa việc kiểm tra tích hợp liên tục vào vòng lặp của tác tử lập trình. Tuy nhiên, Chainguard chưa tiết lộ chi tiết về các lỗ hổng đã tìm thấy, dự án bị ảnh hưởng hoặc tình trạng khắc phục, nên hiệu quả thực tế của hệ thống chưa thể được đánh giá độc lập từ thông tin đã công bố.
Hãy tiếp tục theo dõi Sine để cập nhật cách các công cụ AI đang thay đổi quy trình phát triển và bảo mật phần mềm.
