Nhóm Bảo mật Chrome của Google đã tiết lộ rằng các công cụ trí tuệ nhân tạo đã tìm thấy và giúp khắc phục 1.072 lỗ hổng bảo mật chỉ trong hai bản phát hành Chrome - nhiều lỗi hơn số lỗi mà nhóm đã khắc phục được trong 23 cột mốc trước đó cộng lại. Các số liệu, được công bố trong một bài đăng blog kỹ thuật chi tiết vào ngày 30 tháng 7 năm 2026, đưa ra một trong những minh chứng rõ ràng nhất rằng các mô hình ngôn ngữ lớn có thể hoạt động ở trung tâm của một chương trình bảo mật phần mềm lớn.
Đối với bất kỳ ai theo dõi những phát triển AI mới nhất, những tác động này vượt xa phạm vi một trình duyệt duy nhất. Tiết lộ của Google được đưa ra trong bối cảnh ngành công nghiệp rộng lớn hơn đang xem xét cách các công cụ AI đang định hình lại an ninh mạng – cho cả kẻ tấn công và người bảo vệ.
Khai thác đặc vụ được xây dựng trên Gemini
Vào đầu năm 2026, Google đã xây dựng cái mà họ gọi là "bộ khai thác tác nhân" sử dụng dòng mô hình Gemini để quét cơ sở mã Chrome rộng lớn để tìm lỗ hổng. Hệ thống này được thiết kế để tìm ra các lỗ hổng bảo mật thực sự với hiệu quả cao hơn và tỷ lệ dương tính giả thấp hơn so với công cụ phân tích tĩnh truyền thống.
Một khám phá nổi bật. AI đã xác định được lỗ hổng thoát khỏi hộp cát có thể cho phép quy trình kết xuất bị xâm nhập đánh lừa trình duyệt đọc các tệp cục bộ trên máy của người dùng. Theo Google, lỗi này đã "lặng lẽ tồn tại trong cơ sở mã của chúng tôi hơn 13 năm".
Nhóm Chrome Security viết: “Đối với nhiều người trong chúng tôi, thời điểm này đã củng cố tiềm năng phát hiện lỗ hổng do AI cung cấp”.
Từ Tìm lỗi đến Phân loại tự động
Các hệ thống AI săn lùng lỗi tương tự hiện đang xử lý chúng. Trong lịch sử, việc xem xét một báo cáo bảo mật gửi đến sẽ tiêu tốn từ 5 đến 30 phút thời gian của một kỹ sư. Quy trình tự động của Google hiện xử lý phần lớn công việc đó: lọc các báo cáo trùng lặp, cố gắng tái tạo lỗi, chỉ định xếp hạng mức độ nghiêm trọng và chuyển vấn đề đến nhóm kỹ thuật phù hợp. Công ty ước tính điều này giúp nhà phát triển tiết kiệm hàng trăm giờ mỗi tháng.
Việc sửa lỗi trên quy mô lớn đòi hỏi phải xem xét lại toàn bộ quá trình sửa chữa. Kiến trúc hiện tại chạy một quy trình đa tác nhân, trong đó một tác nhân sửa lỗi tạo ra nhiều bản vá ứng cử viên, một tác nhân phê bình riêng biệt đánh giá bản vá nào mạnh nhất và một tác nhân viết bài kiểm tra xác minh bản sửa lỗi hoạt động trên tất cả các nền tảng được hỗ trợ của Chrome trước khi người đánh giá nhìn thấy nó.
Google đã hợp tác chặt chẽ với bộ phận DeepMind và nhóm nghiên cứu Project Zero trong nỗ lực này, xây dựng trên các công cụ được biết đến nội bộ là BigSleep và CodeMender. Chúng được tích hợp nguyên bản vào hệ thống tích hợp liên tục của Chrome, chạy 24 giờ một lần đối với tất cả các thay đổi mã đến để phát hiện các lỗi bảo mật trước khi chúng xuất hiện.
Google cho biết: “Sự tích hợp này đã mang lại kết quả đáng kể”. “Chỉ riêng trong tháng 5, chúng tôi đã chặn hơn 20 lỗ hổng trong quá trình sản xuất, bao gồm cả sự cố nghiêm trọng trên S1+.”
Các nhà nghiên cứu bên ngoài cảm nhận được sức ép
Sự gia tăng đột biến trong hoạt động khám phá nội bộ do AI điều khiển đã có tác động mạnh mẽ đến Chương trình Phần thưởng cho lỗ hổng bảo mật (VRP) bên ngoài của Google. Đến tháng 3 năm 2026, Chrome nhận được nhiều báo cáo lỗi từ các nhà nghiên cứu bên ngoài hơn so với cả năm 2025. Để đáp lại, Google đã điều chỉnh VRP để khuyến khích những phát hiện vượt xa những gì mà các công cụ AI của chính họ đã phát hiện được — một tín hiệu cho thấy tính năng phát hiện lỗ hổng tự động đang bắt đầu vượt xa hoạt động tìm lỗi thủ công truyền thống.
Nhiều cửa hàng, bao gồm TechCrunch, SecurityWeek, BleepingComputer và WIRED, đã xác nhận số liệu này. WIRED đã báo cáo rằng Chrome hiện yêu cầu chu kỳ vá lỗi khoảng hai lần một tuần, một nhịp độ chỉ khả thi nhờ thông lượng của quy trình AI.
Thu hẹp khoảng cách bản vá
Việc tìm và sửa lỗi nhanh chóng chỉ quan trọng nếu những bản sửa lỗi đó đến tay người dùng kịp thời. Google thừa nhận thách thức dai dẳng của cái gọi là "khoảng cách bản vá" - khoảng cách giữa thời điểm bản sửa lỗi xuất hiện trong cơ sở mã nguồn mở và thời điểm nó tiếp cận kênh ổn định mà hầu hết người dùng sử dụng. Trong thời gian đó, kẻ tấn công có thể thiết kế ngược bản vá và khai thác lỗ hổng trước khi người dùng cập nhật.
Để thu hẹp khoảng cách đó, Chrome đang phát triển công nghệ vá lỗi động có thể thay thế nhanh chóng các quy trình nền dễ bị tổn thương mà không yêu cầu khởi động lại toàn bộ trình duyệt. Nhóm đã đưa ra một thay đổi liên quan trong Chrome 150, tự động khởi động lại trình duyệt trên macOS khi tất cả các cửa sổ bị đóng và bản cập nhật đang chờ xử lý.
Công việc mang tính cấu trúc dài hạn tập trung vào việc loại bỏ toàn bộ danh mục lỗ hổng thay vì vá các trường hợp riêng lẻ. Google đang mở rộng MiraclePtr, một công nghệ vô hiệu hóa các lỗi bộ nhớ hết hạn sử dụng, sang các thư viện kết xuất bổ sung bao gồm Skia, ANGLE và Dawn. Mục tiêu là nhằm giải quyết phần cơ sở mã ngày càng tăng, nơi bắt nguồn của các vấn đề về an toàn bộ nhớ này.
Sự thay đổi rộng rãi hơn trong bảo mật phần mềm
Tiết lộ của Google đến vào thời điểm có sự xem xét kỹ lưỡng về tính chất lưỡng dụng của AI trong an ninh mạng. Trong cùng tuần đó, WIRED, ABC News và Politico đã báo cáo rằng các mô hình Claude của Anthropic đã xâm phạm độc lập ba tổ chức trong thế giới thực trong quá trình kiểm tra bảo mật, viết và triển khai phần mềm độc hại. Những diễn biến song song nhấn mạnh sự căng thẳng trung tâm: cùng một loại khả năng AI có thể tự động vá lỗ hổng 13 năm tuổi cũng có thể hướng tới mục đích tấn công.
Đối với nhóm của Chrome, phép tính đã rõ ràng. 1.072 lỗi đã được sửa trong hai bản phát hành thể hiện những cải tiến thực sự về bảo mật đối với người dùng — những lỗ hổng có thể đã tồn tại trong nhiều năm. Liệu phần còn lại của ngành công nghiệp phần mềm có thể sao chép quy trình của Google hay không và liệu đối thủ có thể vũ khí hóa các kỹ thuật tương tự nhanh hơn những người bảo vệ có thể triển khai chúng hay không, vẫn là câu hỏi mang tính quyết định của kỷ nguyên bảo mật AI.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
