Các mô hình AI Frontier ngày càng được các nhà nghiên cứu sử dụng để xác định lỗ hổng phần mềm trên nhiều trình duyệt, hệ điều hành và nền tảng mã nguồn mở. Các nhà phát triển Zcash cho biết trong tuần này rằng Claude Opus 4.8 đã góp phần phát hiện một lỗ hổng nghiêm trọng có thể đã cho phép kẻ tấn công đúc ZEC giả mạo không giới hạn, với lỗ hổng tồn tại từ thời điểm Orchard được kích hoạt vào tháng 5/2022 cho đến khi bản vá khẩn cấp được triển khai vào ngày 1/6/2026. Vai trò mở rộng của công nghệ trong nghiên cứu lỗ hổng đang làm dấy lên lo ngại về việc ngày càng có nhiều người tiếp cận được các năng lực này, đặc biệt khi các dự án crypto và DeFi đang đối mặt các thách thức bảo mật ngày một gia tăng, với hơn 840 triệu USD bị đánh cắp trong 5 tháng đầu năm 2026.
AI Models Chuyển từ Trợ lý Lập trình sang Công cụ Bảo mật
Các mô hình AI ban đầu được sử dụng chuyên nghiệp như trợ lý lập trình, giúp nhà phát triển viết, giải thích và gỡ lỗi phần mềm. Việc chuyển từ trợ lý lập trình sang công cụ bảo mật trùng với sự thay đổi lớn hơn sau khi Claude Code ra mắt vào năm 2025, khi Anthropic báo cáo sự gia tăng mạnh về mã do AI tạo ra trong các nhóm kỹ sư của họ.
“AI giỏi hơn rất nhiều trong việc rà soát mã so với hầu hết mọi người và tìm ra các lỗ hổng tiềm ẩn trong đó”, Danny Jenkins, CEO và đồng sáng lập ThreatLocker, nói với Decrypt. Jenkins cho biết các hệ thống AI hiện tại đã đang thúc đẩy tốc độ phát hiện lỗ hổng, trong khi các mô hình mới hơn như Mythos có thể mở rộng đáng kể các năng lực này.
Jenkins cho biết AI đang hạ thấp rào cản gia nhập cho nghiên cứu lỗ hổng, cho phép nhiều người hơn phân tích mã và nhận diện điểm yếu. “Trước thời AI, các mối đe dọa an ninh mạng và các kịch bản khai thác đang tăng lên mỗi năm”, ông nói. “Sau thời AI, mọi thứ còn nhanh hơn, và tôi nghĩ nhanh hơn vì hai lý do. Một là giờ đây bạn có thể dùng AI để giúp tìm ra lỗ hổng và khai thác, và số lượng người có khả năng làm việc này đã tăng lên rất mạnh.”
Các Công ty Triển khai AI để Phát hiện Lỗ hổng trên Nhiều Nền tảng
Vào hôm thứ Ba, Anthropic đã mở rộng quyền truy cập Project Glasswing, cấp cho 150 công ty và tổ chức quyền truy cập Claude Mythos để giúp xác định và khắc phục các lỗ hổng phần mềm trước khi mô hình được phát hành rộng rãi hơn.
Vào tháng 4, Mozilla cho biết các mô hình của Anthropic đã giúp phát hiện hàng trăm lỗ hổng mà họ đã sửa trong trình duyệt web Firefox, trong khi các nhà nghiên cứu tại Calif dùng Mythos Preview trong công việc tạo ra một trong những khai thác công khai đầu tiên nhắm vào các chip M5 của Apple.
Stanislav Fort, cựu nhà nghiên cứu tại Google DeepMind và Anthropic, hiện là nhà sáng lập và giám đốc khoa học tại công ty an ninh Aisle, nói với Decrypt rằng các lo ngại về việc phát hiện lỗ hổng nhờ AI là có cơ sở nhưng thường bị hiểu sai. “Phản ứng ngây thơ là tìm cách kiểm soát chặt quyền truy cập vào các mô hình mạnh mẽ. Tôi nghĩ đây về cơ bản là bảo mật bằng sự che giấu, và bảo mật bằng sự che giấu là một trong những ý tưởng tệ nhất trong lĩnh vực này”, Fort nói.
Vào tháng 5, Microsoft đã giới thiệu MDASH, một hệ thống phát hiện lỗ hổng dạng tác nhân mà công ty cho biết đã giúp xác định các lỗ hổng Windows trước đó chưa từng được biết tới.
Zcash làm nổi bật Tác động của AI lên An ninh Crypto
Nhà nghiên cứu bảo mật độc lập Taylor Hornby đã công bố lỗ hổng nghiêm trọng trong pool quyền riêng tư Orchard của Zcash mà ông phát hiện với sự hỗ trợ của Claude Opus 4.8. Lỗ hổng này có thể cho phép kẻ tấn công tạo ZEC giả mạo không giới hạn.
“Lỗ hổng đã tồn tại từ thời điểm Orchard được kích hoạt vào tháng 5/2022 cho đến khi bản vá khẩn cấp được triển khai vào ngày 1/6/2026”, Shielded Labs, tổ chức đứng sau phát triển Zcash, viết trong một bài đăng công bố thông tin. “Do các đặc tính quyền riêng tư của Orchard và bản chất của lỗi, không có cách xác định chắc chắn, chỉ bằng mật mã, liệu việc khai thác như vậy đã xảy ra hay chưa.”
Hơn 840 triệu USD đã bị đánh cắp từ các dự án DeFi trong 5 tháng đầu năm 2026, bao gồm hơn 600 triệu USD chỉ riêng trong tháng 4 thông qua các cuộc tấn công vào các dự án như KelpDAO và Drift Protocol.
Natalie Newson, nhà điều tra blockchain cấp cao tại nền tảng bảo mật Web3 CertiK, cho biết dù tháng 4 là một tháng đặc biệt nghiêm trọng đối với các vụ khai thác crypto, xu hướng chung vẫn ổn định hơn. “Tháng 4/2026 là một tháng tệ đối với các vụ khai thác crypto; chỉ có 3 ngày không có một vụ khai thác nào mà ít nhất 10.000 USD được lấy đi”, bà nói. “Tuy nhiên, nếu nhìn tổng thể bức tranh rộng hơn, số lượng sự cố (loại trừ lừa đảo phishing) có thể nói là khá nhất quán và vẫn thấp hơn so với đỉnh điểm vào năm 2023.”
Raz Niv, CTO của Blockaid, cho biết rủi ro lớn hơn không phải AI thay thế tin tặc, mà là khuếch đại khả năng của chúng, cho phép kẻ tấn công tập trung vào các kỹ thuật tinh vi hơn trong khi AI xử lý các tác vụ thường nhật. “Tin tốt là các bên phòng thủ có thể dùng chính những công cụ đó”, ông nói. “Giám sát và mô phỏng có hỗ trợ AI đang trở nên thiết yếu đối với các đội bảo mật muốn theo kịp tốc độ.”
FAQ
Claude Opus 4.8 đã giúp phát hiện lỗ hổng nào trong Zcash?
Claude Opus 4.8 đã giúp nhà nghiên cứu bảo mật độc lập Taylor Hornby phát hiện một lỗ hổng nghiêm trọng trong pool quyền riêng tư Orchard của Zcash, có thể cho phép kẻ tấn công đúc ZEC giả mạo không giới hạn. Lỗ hổng đã tồn tại từ thời điểm Orchard được kích hoạt vào tháng 5/2022 cho đến khi bản vá khẩn cấp được triển khai vào ngày 1/6/2026.
Bao nhiêu tiền đã bị đánh cắp từ các dự án DeFi trong 5 tháng đầu năm 2026?
Hơn 840 triệu USD đã bị đánh cắp từ các dự án DeFi trong 5 tháng đầu năm 2026, bao gồm hơn 600 triệu USD chỉ riêng trong tháng 4 thông qua các cuộc tấn công vào các dự án như KelpDAO và Drift Protocol.
Các công ty nào đang triển khai mô hình AI để phát hiện lỗ hổng?
Vào hôm thứ Ba, Anthropic đã mở rộng quyền truy cập Project Glasswing, cấp cho 150 công ty và tổ chức quyền truy cập Claude Mythos. Mozilla cho biết vào tháng 4 rằng các mô hình của Anthropic đã giúp phát hiện hàng trăm lỗ hổng được sửa trong Firefox. Microsoft đã giới thiệu MDASH vào tháng 5, một hệ thống phát hiện lỗ hổng dạng tác nhân giúp xác định các lỗ hổng Windows trước đó chưa được biết tới.
